Des chercheurs du groupe Google Project Zero ont découvert une vulnérabilité qui est l'une des plus importantes de l'histoire de la plateforme iOS. Le malware malveillant exploitait des bugs dans le navigateur Web mobile Safari.
Ian Beer, expert de Google Project Zero, explique tout sur son blog. Personne n’a dû éviter les attaques cette fois-ci. Il suffisait de visiter un site Web infecté pour être infecté.
Les analystes du Threat Analysis Group (TAG) ont finalement découvert un total de cinq bugs différents présents d'iOS 10 à iOS 12. En d'autres termes, les attaquants pourraient utiliser la vulnérabilité pendant au moins deux ans depuis que ces systèmes sont sur le marché.
Le malware utilisait un principe très simple. Après avoir visité la page, un code s'exécutait en arrière-plan et était facilement transféré à l'appareil. L'objectif principal du programme était de collecter des fichiers et d'envoyer des données de localisation à intervalles d'une minute. Et comme le programme s'est copié dans la mémoire de l'appareil, même ces iMessages n'en étaient pas à l'abri.
TAG et Project Zero ont découvert un total de quatorze vulnérabilités réparties sur cinq failles de sécurité critiques. Parmi ceux-ci, sept étaient liés à Safari mobile sous iOS, cinq autres au noyau du système d'exploitation lui-même et deux ont même réussi à contourner le sandboxing. Au moment de la découverte, aucune vulnérabilité n'avait été corrigée.
L'ensemble de ces vulnérabilités est dangereux dans la mesure où les attaquants pourraient facilement diffuser le code via les sites concernés. Comme il suffit de charger un site Web et d’exécuter des scripts en arrière-plan pour infecter un appareil, pratiquement tout le monde courait un risque.
Tout est expliqué techniquement sur le blog anglais du groupe Google Project Zero. Le message contient une richesse de détails et de détails. Il est étonnant de constater à quel point un simple navigateur Web peut servir de passerelle vers votre appareil. L'utilisateur n'est pas obligé d'installer quoi que ce soit.
La sécurité de nos appareils n’est donc pas une bonne chose à prendre à la légère.
Petr Skuta 
David Hanak 
