Apple a publié jeudi des mises à jour de sécurité qui corrigent deux exploits « zero-day » – c’est-à-dire des techniques de piratage qui étaient inconnues au moment où Apple les a découvertes – utilisés contre un membre d’une organisation de la société civile à Washington, D.C., selon les chercheurs qui ont découvert les vulnérabilités.
Citizen Lab, un groupe de surveillance d’Internet qui enquête sur les logiciels malveillants gouvernementaux, a publié un court billet de blog expliquant qu’il avait découvert la semaine dernière une vulnérabilité de type « zéro clic » – c’est-à-dire que la cible des pirates n’a pas besoin de taper ou de cliquer sur quoi que ce soit, par exemple une pièce jointe – utilisée pour cibler les victimes avec des logiciels malveillants. Les chercheurs ont indiqué que cette vulnérabilité était utilisée dans le cadre d’une chaîne d’exploitation conçue pour diffuser le logiciel malveillant de NSO Group, connu sous le nom de Pegasus.
« La chaîne d’exploitation était capable de compromettre les iPhones utilisant la dernière version d’iOS (16.6) sans aucune interaction de la part de la victime », a écrit Citizen Lab.
Après avoir découvert la vulnérabilité, les chercheurs l’ont signalée à Apple, qui a publié un correctif jeudi, en remerciant Citizen Lab de l’avoir signalé.
D’après ce que Citizen Lab a écrit dans son billet de blog, et compte tenu du fait qu’Apple a également corrigé une autre vulnérabilité et attribué sa découverte à la société elle-même, il semble qu’Apple ait trouvé la seconde vulnérabilité en enquêtant sur la première.
Le porte-parole d’Apple, Scott Radcliffe, n’a pas fait de commentaire et a renvoyé TechCrunch aux notes de la mise à jour de sécurité.
Citizen Lab a appelé la chaîne d’exploitation BLASTPASS, car elle implique PassKit, un cadre qui permet aux développeurs d’inclure Apple Pay dans leurs applications.
« Une fois de plus, la société civile sert de système d’alerte précoce en matière de cybersécurité pour des milliards d’appareils dans le monde », a écrit sur Twitter John Scott-Railton, chercheur principal au sein de l’organisme de surveillance de l’internet Citizen Lab.
Citizen Lab a recommandé à tous les utilisateurs d’iPhone de mettre à jour leur téléphone.
M. Scott-Railton a également déclaré que ses collègues et lui-même, ainsi que l’équipe d’ingénierie et d’architecture de sécurité d’Apple, pensent que le mode « Lockdown », un mode optionnel qui améliore certaines fonctions de sécurité et en bloque d’autres afin de réduire le risque d’attaques ciblées, aurait permis de bloquer les exploits découverts dans le cas présent.