Vulnérabilités affectant iPhone: voici ce que vous devez savoir sur les derniers problèmes iOS

0

La récente découverte de chaînes d’exploits ciblant iOS est le tout dernier exemple de la façon dont les cybercriminels peuvent mener avec succès des campagnes malveillantes, non détectées, grâce à l’utilisation de vulnérabilités Zero-Day. Dans ce scénario, un ou plusieurs acteurs malveillants ont exploité des sites Web compromis, en utilisant une ou plusieurs vulnérabilités Zero-Day, de nombreuses chaînes d’exploits uniques, et d’autre vulnérabilités reconnues pour la compromission d’iPhones, dernières versions du système d’exploitation incluses, depuis plus de deux ans. Il faut un talent et des ressources remarquables pour exploiter ce type d’infrastructure sans être détecté, car des milliers d’utilisateurs ont pu être compromis sans que la campagne ne soit identifiée.

La découverte d’exploits iOS est généralement un véritable challenge, en raison du code propriétaire opaque et des mesures d’atténuation actuelles. Les exploits qui ne nécessitent aucune action de l’utilisateur et qui aboutissent à l’exécution complète du code à distance sont les plus rares, les plus onéreux et les plus difficiles à découvrir. Cette attaque est d’autant plus complexe qu’aujourd’hui de nombreux exploits de smartphones nécessitent plus d’une seule vulnérabilité pour fonctionner. Dans de nombreux cas, 3 à 4 bogues sont nécessaires pour obtenir une exécution de code à distance sur un système cible. Cela est généralement dû aux mesures d’atténuation telles que les sandboxes, les restrictions sur l’exécution du code et à la réduction des privilèges utilisateurs, ce qui rend nécessaire une chaîne de vulnérabilités. Cette complexité réduit le taux de réussite d’une attaque.

Apple est un acteur fort dans le domaine de la divulgation responsable, ayant récemment élargi son offre à 1 million de dollars pour certaines vulnérabilités. Les courtiers en vulnérabilité, spécialisés dans la revente de vulnérabilités, peuvent débourser jusqu’à 3 millions de dollars pour les vulnérabilités d’exécution de code à distance sans interaction sur iOS. Il est aisé de comprendre la valeur intrinsèque des bogues qui ne nécessitent pas d’interaction de la part de la victime et aboutissent à une exécution complète du code à distance. Avec la popularité des systèmes d’exploitation d’Apple sur les smartphones et les ordinateurs, même ces prix peuvent ne pas être suffisants pour encourager les attaquants à choisir de divulguer de manière responsable leurs découvertes plutôt qu’à des fins malveillantes, et plus rentables.

Cette découverte soulève deux questions importantes : comment cet acteur malveillant a-t-il été capable d’opérer pendant si longtemps, principalement en utilisant des exploits connus, et qu’a-t-il réussi à faire ? Ces questions nous ramènent à la valeur de la divulgation des vulnérabilités. Seule la force de frappe d’une communauté mondiale de chercheurs travaillant collectivement pour identifier et divulguer les vulnérabilités critiques pourra permettre de faire des progrès significatifs en vue de l’élimination de ce type de campagnes malveillantes.

About Author

Avatar

Head of Advanced Threat Research chez McAfee

Leave A Reply