Les iPhone piratés via une faille existant depuis des années

Project Zero, l'équipe de chercheurs en sécurité informatique de Google, a encore une fois découvert des vulnérabilités 0-day touchant le fabricant à la pomme.

Exploitées par des cybercriminels sur une période minimum de deux ans et non corrigées par Apple, ces failles auraient impacté un très grand nombre d'utilisateurs d'iPhone depuis iOS 10 jusqu'à la plus récente version du système d'exploitation.

Un piratage massif des utilisateurs d'iPhone

Après avoir révélé une faille de sécurité dans le noyau de macOS en mars dernier, les experts en cybersécurité de Google nous dévoilent cette fois-ci qu'une opération massive de piratage aurait fait de très nombreuses victimes durant une période minimum de trente mois, soit depuis le lancement d'iOS 10 en septembre 2016.

On apprend ainsi qu'une simple visite d'un site Internet suffisait pour infecter un iPhone. Ian Beer, du Project Zero, s'est exprimé à ce sujet dans un billet de blog : « Les pirates ne visaient pas une cible en particulier, une simple visite sur l'un des sites piratés suffisait au serveur d'exploitation pour attaquer votre appareil, et, en cas de succès, installer un programme de surveillance ».

Plusieurs vulnérabilités inconnues des services d'Apple ont ainsi pu être exploitées par les assaillants, elles concernent iOS mais aussi son navigateur web Safari. Ce piratage aurait permis au logiciel malveillant de récupérer des données de géolocalisation, les mots de passe des différentes applications installées, et même d'avoir accès complet à des messageries chiffrées telles que Telegram et WhatsApp.

Malgré tout, l'attaque n'était pas persistante, selon le Project Zero, c'est-à-dire que si l'utilisateur redémarrait son iPhone le programme malveillant était supprimé. Mais les experts expliquent que « les assaillants ont pu garder un accès à divers comptes et services » en utilisant les informations dérobées lors de l'infection, alors même qu'ils n'avaient plus accès à l'appareil.

Une correction apportée en février

Au total, les chercheurs missionnés par Google ont découvert 14 failles et cinq chaînes de vulnérabilités, et ce, depuis le lancement d'iOS 10. Apple a instantanément corrigé le problème après avoir été informé par l'équipe de Project Zero, en février 2019, via un correctif apporté par la version 12.1.4.

Une mauvaise nouvelle de plus pour Apple après un trimestre décevant et une chute des ventes d'iPhone. Le géant devrait cependant se relancer en dévoilant ses nouveaux iPhone le 10 septembre.

Source : Project Zero