Il est possible de pirater des iPhones simplement en envoyant des e-mails

Attention aux utilisateurs d’Apple !

L’application de publipostage par défaut préinstallée sur des millions d’iPhones et d’iPads s’est révélée vulnérable à deux failles critiques que les attaquants exploitent dans la nature, du moins depuis deux ans, pour espionner des victimes de premier plan.

Les failles pourraient éventuellement permettre à des pirates informatiques distants de prendre secrètement le contrôle total des appareils Apple, simplement en envoyant un courrier électronique à toute personne ciblée avec son compte de messagerie connecté à l’application vulnérable.

Selon les chercheurs en cybersécurité de ZecOps, les bogues en question sont des défauts d’exécution de code à distance qui résident dans la bibliothèque MIME de l’application de messagerie d’Apple – d’abord, en raison d’un bogue d’écriture hors limites et ensuite, c’est un problème de débordement de tas.

Bien que ces deux défauts se déclenchent lors du traitement du contenu d’un courriel, le second est plus dangereux car il peut être exploité avec le « zéro-clic », qui ne nécessite aucune interaction de la part des destinataires ciblés.

Pommes de 8 ans d’âge exploitées à l’état sauvage

Selon les chercheurs, ces deux défauts existaient dans divers modèles d’iPhone et d’iPad depuis la sortie de l’iOS 6 il y a 8 ans et, malheureusement, ils affectent également l’iOS 13.4.1 actuel, sans qu’aucun correctif ne soit encore disponible pour les versions régulières.

Le plus inquiétant est que de multiples groupes d’attaquants exploitent déjà ces failles – depuis au moins deux ans comme des jours zéro dans la nature – pour cibler des individus de diverses industries et organisations, des MSSP d’Arabie Saoudite et d’Israël, et des journalistes en Europe.

« Avec des données très limitées, nous avons pu constater qu’au moins six organisations ont été touchées par cette vulnérabilité – et l’ampleur des abus de cette vulnérabilité est énorme », a déclaré le Les chercheurs ont déclaré.

« Bien que les ZecOps s’abstiennent d’attribuer ces attaques à un acteur spécifique de la menace, nous sommes conscients qu’au moins une organisation de « hackers à gages » vend des exploits en utilisant des vulnérabilités qui utilisent les adresses électroniques comme principal identifiant ».

Selon les chercheurs, il pourrait être difficile pour les utilisateurs d’Apple de savoir s’ils ont été ciblés dans le cadre de ces cyber-attaques, car il s’avère que les attaquants suppriment le courrier électronique malveillant immédiatement après avoir accédé à distance à l’appareil des victimes.

« Il convient de noter que, bien que les données confirment que les courriels d’exploitation ont été reçus et traités par les dispositifs iOS des victimes, les courriels correspondants qui auraient dû être reçus et stockés sur le serveur de messagerie ont disparu. Par conséquent, nous en déduisons que ces courriels ont été supprimés intentionnellement dans le cadre des mesures de nettoyage de la sécurité opérationnelle d’une attaque », ont déclaré les chercheurs.

« Outre un ralentissement temporaire d’une application de messagerie mobile, les utilisateurs ne doivent pas observer d’autres comportements anormaux ».

Il est à noter qu’en cas d’exploitation réussie, la vulnérabilité exécute un code malveillant dans le contexte de l’application MobileMail ou maild, permettant aux attaquants de « fuir, modifier et supprimer des courriels ».

Cependant, pour prendre le contrôle total du dispositif à distance, les attaquants doivent l’enchaîner avec une vulnérabilité de noyau séparée.

Bien que ZecOps n’ait pas mentionné de détails sur le type de logiciels malveillants que les attaquants utilisent pour cibler les utilisateurs, il pense que les attaquants exploitent les failles en combinaison avec d’autres problèmes de noyau pour espionner avec succès leurs victimes.

Attention ! Aucun patch n’est encore disponible

Les chercheurs ont repéré des attaques en pleine nature et ont découvert les failles correspondantes il y a près de deux mois et les ont signalées à l’équipe de sécurité d’Apple.

Au moment de la rédaction du présent document, seule la version bêta 13.4.5 d’iOS, publiée la semaine dernière, contient des correctifs de sécurité pour les deux vulnérabilités du jour zéro.

Pour les millions d’utilisateurs d’iPhone et d’iPad, un correctif logiciel public sera bientôt disponible avec la sortie de la prochaine mise à jour de l’iOS.

En attendant, il est fortement conseillé aux utilisateurs d’Apple de ne pas utiliser l’application de messagerie intégrée à leur smartphone, mais de passer temporairement aux applications Outlook ou Gmail.

Dans un autre article, nous avons parlé aujourd’hui de une autre campagne de piratage de l’iPhone dans la nature où des pirates informatiques chinois ont été pris à cibler des musulmans ouïgours en exploitant les chaînes iOS et les applications de logiciels espions.