Clé à emporter
- En analysant le scandale d'espionnage découvert par Citizen Lab, les chercheurs en sécurité de Google ont découvert un nouveau mécanisme d'attaque connu sous le nom d'exploit sans clic.
- Les outils de sécurité traditionnels comme les antivirus ne peuvent pas empêcher les exploits sans clic.
- Apple en a arrêté un, mais les chercheurs craignent qu'il y ait d'autres exploits sans clic à l'avenir.
Suivre les meilleures pratiques de sécurité est considéré comme une ligne de conduite prudente pour assurer la sécurité des appareils tels que les ordinateurs portables et les smartphones, ou jusqu'à ce que les chercheurs découvrent une nouvelle astuce pratiquement indétectable.
Alors qu'ils dissèquent le bogue Apple récemment corrigé qui a été utilisé pour installer le logiciel espion Pegasus sur des cibles spécifiques, les chercheurs en sécurité du Project Zero de Google ont découvert un nouveau mécanisme d'attaque innovant qu'ils ont surnommé "l'exploit sans clic". qu'aucun antivirus mobile ne peut déjouer.
À moins de ne pas utiliser un appareil, il n'y a aucun moyen d'empêcher l'exploitation par un 'exploit sans clic;' c'est une arme contre laquelle il n'y a aucune défense », ont déclaré les ingénieurs de Google Project Zero Ian Beer et Samuel Groß dans un article de blog.
Le monstre de Frankenstein
Le logiciel espion Pegasus est une idée originale du groupe NSO, une entreprise technologique israélienne qui a maintenant été ajoutée à la "liste des entités" américaine, qui l'exclut essentiellement du marché américain.
Il n'est pas clair quelle est une explication raisonnable de la vie privée sur un téléphone portable, où nous passons souvent des appels très personnels dans des lieux publics. Mais nous ne nous attendons certainement pas à ce que quelqu'un écoute notre téléphone, même si c'est ce que Pegasus permet aux gens de faire », a expliqué Saryu Nayyar, PDG de la société de cybersécurité Gurucul, dans un e-mail à Lifewire.
En tant qu'utilisateurs finaux, nous devons toujours être prudents quant à l'ouverture de messages provenant de sources inconnues ou non fiables, quel que soit l'attrait du sujet ou du message…
Le logiciel espion Pegasus a été mis en lumière en juillet 2021, lorsqu'Amnesty International a révélé qu'il était utilisé pour espionner des journalistes et des militants des droits humains dans le monde entier.
Cela a été suivi par une révélation de chercheurs du Citizen Lab en août 2021, après avoir trouvé des preuves de la surveillance sur iPhone 12 Pro de neuf militants bahreïnis grâce à un exploit qui a échappé aux dernières protections de sécurité d'iOS 14 collectivement connues sous le nom de BlastDoor.
En fait, Apple a intenté une action en justice contre le groupe NSO, le tenant responsable d'avoir contourné les mécanismes de sécurité de l'iPhone pour surveiller les utilisateurs d'Apple via son logiciel espion Pegasus.
"Des acteurs parrainés par l'État comme le groupe NSO dépensent des millions de dollars dans des technologies de surveillance sophistiquées sans véritable responsabilité. Cela doit changer ", a déclaré Craig Federighi, vice-président senior du génie logiciel d'Apple, dans le communiqué de presse sur le procès.
Dans le post en deux parties de Google Project Zero, Beer et Groß ont expliqué comment le groupe NSO a introduit le logiciel espion Pegasus sur les iPhones des cibles en utilisant le mécanisme d'attaque sans clic, qu'ils ont décrit comme à la fois incroyable et terrifiant.
Un exploit sans clic est exactement ce à quoi cela ressemble: les victimes n'ont pas besoin de cliquer ou d'appuyer sur quoi que ce soit pour être compromises. Au lieu de cela, la simple visualisation d'un e-mail ou d'un message avec le logiciel malveillant incriminé lui permet de s'installer sur l'appareil.
Impressionnant et dangereux
Selon les chercheurs, l'attaque commence par un message néfaste sur l'application iMessage. Pour nous aider à décomposer la méthodologie d'attaque plutôt complexe conçue par les pirates, Lifewire a demandé l'aide du chercheur indépendant en sécurité Devanand Premkumar.
Premkumar a expliqué qu'iMessage dispose de plusieurs mécanismes intégrés pour gérer les fichiers-g.webp
"En tant qu'utilisateurs finaux, nous devons toujours être prudents quant à l'ouverture de messages provenant de sources inconnues ou non fiables, quel que soit l'attrait du sujet ou du message, car il est utilisé comme point d'entrée principal dans le téléphone mobile, " Premkumar a informé Lifewire dans un e-mail.
Premkumar a ajouté que le mécanisme d'attaque actuel ne fonctionnait que sur les iPhones alors qu'il parcourait les étapes qu'Apple avait prises pour éliminer la vulnérabilité actuelle. Mais alors que l'attaque actuelle a été réduite, le mécanisme d'attaque a ouvert la boîte de Pandore.
Les exploits sans clic ne vont pas mourir de si tôt. Il y aura de plus en plus de tels exploits sans clic testés et déployés contre des cibles de haut niveau pour les données sensibles et précieuses qui peuvent être extraites des téléphones mobiles de ces utilisateurs exploités », a déclaré Premkumar.
Pendant ce temps, en plus du procès contre NSO, Apple a décidé de fournir une assistance technique, de renseignement sur les menaces et d'ingénierie aux chercheurs du Citizen Lab à titre gracieux et a promis d'offrir la même assistance à d'autres organisations effectuant un travail critique dans cet espace.
De plus, l'entreprise est allée jusqu'à verser 10 millions de dollars, ainsi que tous les dommages-intérêts accordés dans le cadre du procès, pour soutenir les organisations impliquées dans la défense et la recherche des abus de cybersurveillance.
