Des chercheurs ont fait passer en catimini une appli contenant du malware à travers le système de test d’Apple. Voilà ce qui ressort d’une présentation Usenix.
Une équipe du Georgia Institute of Technology américain a réussi à introduire une appli intégrant un maliciel (malware) dans l’Apple App Store, comme le démontre une présentation faite lors du récent Usenix Scurity Symposium de Washington DC. Il s’agit d’un ‘proof of concept’ de ce que l’équipe appelle une ‘Jekyll app’, à savoir une appli qui semble inoffensive à première vue, mais qui contient des fragments de code qui, lorsque l’application est utilisée, se regroupent en un véritable malware. Concrètement, les chercheurs sont parvenus à créer une appli capable de poster des tweets, mais aussi d’envoyer des courriels et des SMS. En outre, l’appli pouvait être forcée de visiter un site web incorporant encore davantage de maliciels. Et l’équipe a réussi à la faire franchir l’ensemble du contrôle de sécurité d’Apple et à la faire tourner sur plusieurs systèmes de test (donc pas des systèmes d’utilisateurs ordinaires). Dans un article, les chercheurs décrivent comment ils ont accompli tout cela en profitant d’un point faible dans l’implémentation d’un dispositif de sécurité d’Apple, ainsi que des aspects dans le fonctionnement du processeur ARM, du navigateur Safari Mobile, alors qu’il existe des faiblesses également qui peuvent être exploitées pour ‘jailbreaker’ un iPhone (déverrouiller un iPhone, afin qu’il puisse aussi faire tourner des applis iOS non officielles).
Contrôle permanent
Les chercheurs affirment que leur ‘proof of concept’ (preuve de concept) démontre que le contrôle software d’Apple ne suffit pas car il n’examine pas le comportement de l’appli après sa publication dans l’App Store. Ils estiment qu’un mécanisme de contrôle permanent dans iOS est indispensable. Par ailleurs, ils prétendent que beaucoup de leurs attaques dans leur ‘Jekyll app’ échouèrent avec iOS 7 (et plusieurs aussi avec iOS 6). De plus, Apple peut toujours retirer une appli de son App Store et annuler le compte du développeur. En outre, soulignent des experts, tous les systèmes d’exploitation – mobiles ou autres – sont vulnérables à ce type d’attaque, et il existe d’autres environnements encore, où il est nettement plus facile de publier des applis contenant du malware (en référence au marché Android). L’on estime en général également que le risque de voir une vague de ce genre de maliciels dans le monde iOS est peu probable, ne serait-ce que parce qu’Apple est maintenant au courant de ces faits et va prendre à coup sûr les mesures qui s’imposent. Apple elle-même explicite du reste en détail les dispositifs de sécurité dans iOS.
