Une fonctionnalité inconnue abusée depuis des années pour pirater les iPhones

Une équipe de la firme de sécurité Kaspersky signale une nouvelle attaque exploitant une fonctionnalité jusqu’il y a peu inconnue des iPhones. Il s’agirait du piratage le plus sophistiqué jamais réalisé.

Le bug a été baptisé CVE-2023-38606 et a été corrigé par Apple en juillet de cette année. Depuis lors, Kaspersky s’efforce de faire la lumière sur ce piratage, en partie parce que certains de ses propres chercheurs l’ont découvert eux-mêmes sur leur téléphone.

La Triangulation, comme Kaspersky appelle l’attaque dans un rapport, utilise une fonctionnalité jusque-là inconnue et non documentée dans les iPhones, probablement destinée aux tests ou au débogage. Le piratage abuse de cette fonctionnalité pour contourner la sécurité du matériel et accéder ainsi à des parties de la mémoire qui, sans cela, seraient protégées. ‘Il ne s’agit pas d’une brèche ordinaire’, écrit Boris Larin, chercheur en chef de l’équipe GReAT de Kaspersky, dans le rapport. Il y indique que l’enquête a été particulièrement malaisée, car l’analyse du piratage a nécessité de longues recherches dans les logiciels et le matériel de l’écosystème iOS très fermé. L’équipe a passé plusieurs mois à procéder à de l’ingénierie à rebours de ses propres appareils infectés.

Opération Triangulation

Le bug a été exploité pendant quatre ans environ dans le cadre d’une campagne ‘Opération Triangulation’ plus large, qui aurait contaminé des milliers de téléphones et les aurait infectés par un logiciel espion. Cela inclut les appareils d’ingénieurs de Kaspersky et, selon le gouvernement russe, de milliers de personnes qui travaillent dans des ambassades en Russie. Selon Kaspersky, les infections ont été véhiculées par des messages iMessage installant des logiciels malveillants sans que le destinataire ne doive lui-même intervenir.

Kaspersky a découvert le bug plus tôt cette année et l’a signalé à Apple. Il a depuis été corrigé, mais, selon Larin, cela n’a pas aidé l’enquête, car il n’existe aucune documentation concernant la fonctionnalité utilisée de manière abusive. ‘La sécurité par obscurcissement ne fonctionne pas’, a encore ajouté Larin.