Le logiciel d’espionnage israélien a contourné l’un des principaux mécanismes de défense qu’Apple avait ajouté dans iOS14. Un revers majeur pour la firme de Cupertino.
Les chercheurs en sécurité de Citizen Lab viennent de révéler une nouvelle faille zero-day dans iMessage, la messagerie instantanée d’iOS. Baptisée « ForcedEntry », elle a été utilisée par le fameux logiciel d’espionnage Pegasus pour espionner des activistes du Bahreïn entre février et juillet 2021. Elle a la particularité d’être zero-click, c’est-à-dire que l’on peut pirater un iPhone sans aucune intervention de l’utilisateur, simplement en envoyant un message sur le numéro ciblé. Cette faille exploite un bug dans la fonction d’affichage des images et a été utilisée dans les versions iOS 14.4 et 14.6.
Cette révélation est un sérieux revers pour Apple, car cette attaque contourne l’une des principales défenses que l’entreprise a récemment mises en place dans iOS 14 pour sécuriser son application de messagerie. Le dispositif « BlastDoor », en effet, était censé traiter les messages entrants d’iMessage dans un environnement sécurisé et isolé, pour éviter toute interaction malveillante avec le système d’exploitation. Mais force est de constater que cela ne fonctionne pas.
Interrogé par Wired, Apple a confirmé cette faille, mais aucun correctif n’est disponible pour l’instant. La firme de Cupertino a simplement indiqué que d’autres mécanismes de défense sont en développement et seront intégrés dans iOS 15, qui devrait être disponible le mois prochain. Par ailleurs, Apple a minimisé la portée de cette attaque. « Des attaques comme celles décrites sont très sophistiquées, coûtent des millions de dollars à développer, ont souvent une courte durée de vie et sont utilisées pour cibler des individus spécifiques. Elles ne constituent pas une menace pour l’écrasante majorité de nos utilisateurs, pour autant nous continuons à travailler sans relâche pour défendre tous nos clients », a déclaré Ivan Krstić, responsable de l’ingénierie et de l’architecture de sécurité d’Apple, dans un communiqué.
Ces attaques auraient pu être évitées si Apple permettait la désactivation ou la désinstallation de l’application iMessage. Malheureusement, ce n’est pas le cas. À l’heure actuelle, les possesseurs d’iPhone n’ont donc aucun moyen pour se protéger contre ce type d’attaque. Pour autant, une telle possibilité ne permettrait pas forcément de se mettre totalement à l’abri face à Pegasus, qui exploite également d’autres messageries instantanées pour arriver à ses fins. Le problème du cyberespionnage par Pegasus reste donc entier. Tout comme la fragilité de l’application iMessage, dont la surface d’attaque semble désormais être trop grande pour pouvoir être sécurisée de manière efficace.
source : 01net
