oday iphone iOS 10.3.1

0day iPhone : piratage en un seul clic

0day iPhone – Trois failles de sécurité identifiées sur iOS peuvent prendre le contrôle d’un appareil Apple en un seul clic.

Trois failles de sécurité de IOS (0day iPhone) collectivement nommées TRIDENT ont été identifiées par la société Lookout conjointement avec le laboratoire Citizen Lab de l’Université de Toronto au Canada. Selon les experts en sécurité mobile, iOS a fait l’objet d’une attaque mobile sophistiquée, ciblée et persistante utilisant trois vulnérabilités appelées TRIDENT. Trident forme une attaque en chaine qui est capable de défier et d’affaiblir les sécurités mises en place par Apple. L’attaque permet à un adversaire de s’introduire dans un appareil iPhone/iPad et d’espionner discrètement ses victimes en récupérant de l’information de diverses applications telles que Gmail, Facebook, Skype, WhatsApp, Calendar, FaceTime, Line, Mail.Ru, …

TRIDENT était activement utilisé par une la société NSO Group pour permettre un espionnage ciblé. Un malware baptisé Pegasus permet une personnalisation pointue de l’attaque. Ce code malveillant exploite les faiblesses iOS zero-day suivantes : CVE-2016-4654: Webkit de corruption de mémoire – Une vulnérabilité du WebKit JavaScript Safari permet d’infecter un mobile quand l’utilisateur clique sur un lien. CVE-2016-4655: Une fuite d’information du AppleKeyStore – Une vulnérabilité kernel base mapping vulnerability qui fait fuir l’information et permet aux pirates de calculer l’emplacement du kernel dans la mémoire et CVE-2016-4656 qui corrompt la mémoire Kernel qui conduit à un Jailbreak du téléphone. Des vulnérabilités 32 et 64 bit iOS kernel-level qui permettent à l’attaquant de s’introduire silencieusement dans l’appareil et d’installer le logiciel d’espionnage.

0day iPhone

Vous comprenez un peu mieux le patch de mise à jour 9.3.5 lancé par Apple ces derniers jours. NSO, ancienne start-up israélienne, racheté 110 millions de dollars ce printemps par Francisco Partners [FP a aussi des billets dans Blue Cost, NDR], propose de surveiller les smartphones de personnes ciblées par des organismes gouvernementaux. Parmi les clients officiels, le Mexique ou encore le gouvernement américain.

Les 0Days ont été découverts après la tentative d’infiltration du téléphone d’Ahmed Mansoor. Ce défenseur des droits de l’homme aux Émirats Arabes Unis avait reçu plusieurs SMS tentant de l’inciter à cliquer sur un lien et visiter un site piégé. Les failles existaient depuis 2013 et Apple n’avait rien vu.

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme réserviste - Lieutenant-Colonel (RC) ComCyberGend. Fondateur du Service Veille ZATAZ : https://www.veillezataz.com En savoir plus : https://www.damienbancal.fr

Articles connexes

  1. SIEBMAN Reply

    Bonjour. A priori cet article n’apparaît nulle part dans l’application iPhone zataz. Je l’ai trouvé en recherchant explicitement 9.3.5 car j’étais étonné que zataz n’en fasse pas mention. Cordialement

    • Damien Bancal Reply

      Bonjour,
      Effectivement, il n’était pas placé dans la bonne rubrique diffusée dans l’appli. C’est corrigé. Merci pour ce report de bug 🙂

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.