Vulnérabilité du jour zéro d’Apple sur le marché pour 8m
Un exploit zero day dans le système d’exploitation mobile iOS d’Apple qui permet l’exécution de code à distance a été mis en vente pour 8m, selon des documents divulgués.
L’exploit principal vendu dans le cadre du package Nova permet l’injection ciblée de code d’un navigateur Web dans le système d’exploitation, selon les documents partagés par le référentiel de code de cybersécurité vx-underground. Ceci est exploité via une attaque de phishing où un lien est cliqué et la vulnérabilité déclenchée.
Les documents marketing, qui semblent provenir de la société de cyber-intelligence Intellexa, décrivent les détails de l’exploit et ce que le vendeur obtiendra en échange du prix d’achat. Ceux-ci ont été partagés pour la première fois le mois dernier par le groupe anonyme, mais vx-underground dit qu’il n’a aucun moyen de déterminer la validité du vendeur.
Il n’est pas clair si les exploits annoncés ont déjà été corrigés par Apple, mais le vendeur offre une garantie de 12 mois, donc même s’ils sont corrigés, l’acheteur se verra proposer des alternatives qu’il pourra utiliser à la place.
L’exploit est répertorié comme fonctionnant sur iOS 15.4.1 et les versions d’il y a un an, ce qui suggère que la faille a été corrigée dans les versions plus récentes du système d’exploitation mobile. Il fonctionne également sur Android 12 et inférieur. En plus de l’exploit 0 jour, le prix comprend des exploits pour d’autres appareils et la prise en charge du cloud pour l’injection de code basée sur un navigateur Web.
Moniteur technique a approché Intellexa pour commentaires.
Le commerce croissant et lucratif des exploits zero day
Le commerce des exploits Zero Day est en croissance, le marché cible étant non seulement les cybercriminels, mais aussi les gouvernements nationaux et des entreprises comme NSO Group, qui les utilise dans son logiciel Pegasus qui donne à ses clients l’accès à des appareils mobiles ciblés.
Contenu de nos partenaires
Les exploits sans clic, qui peuvent être mis en œuvre à l’insu des utilisateurs finaux, sont les plus recherchés, mais les vulnérabilités en un seul clic, comme celle apparemment vendue par Intellexa, sont également très demandées, en particulier si elles peuvent être utilisées contre des systèmes d’exploitation courants. comme iOS et Android.
L’année dernière, 58 vulnérabilités Zero Day ont été découvertes, selon Google Project Zero, qui suit les nouveaux problèmes Zero Day avec les principaux éditeurs de logiciels. Selon Project Zero, il y a eu 23 exploits de jour zéro corrigés jusqu’à présent cette année, bien que cela ne répertorie pas ceux qui sont encore dans la nature comme le type vendu par le groupe inconnu.
Un marché pour les jours zéro existe depuis de nombreuses années, mais « le domaine a considérablement changé depuis le début des années 2000 », explique le Dr Max Smeets, chercheur au centre d’études de sécurité de l’ETH Zurich. « À l’époque, nous avons vu très peu de chercheurs en sécurité parler de la façon dont ils seraient prêts à vendre ces exploits au plus offrant », a-t-il déclaré. Moniteur technique plus tôt cette année. « Et ce serait un individu vendant à un État-nation ou en particulier à une entreprise du secteur privé. »
« De nombreux pays européens n’achèteront pas les exploits du jour zéro, mais il y a un certain nombre de pays qui les achèteront », a ajouté le Dr Smeets. « Cela inclut le gouvernement américain, qui dispose d’un budget énorme, et le gouvernement britannique et nous savons qu’ils sont généralement achetés par les agences de renseignement comme la CIA ou la NSA, bien que, à mesure que nous voyons de plus en plus de pays établir des cybercommandements militaires, ils peuvent également être intéressés. . »
Comment un logiciel espion comme Pegasus utilise les exploits du jour zéro
Le logiciel phare de NSO, Pegasus, l’un des principaux acteurs du secteur des logiciels espions, peut être déployé à distance sur les appareils iPhone et Android pour permettre au client d’accéder aux données et aux capteurs du téléphone cible. Il est classé comme arme par le gouvernement israélien et sa vente est limitée aux gouvernements étrangers mais pas aux entités privées.
Il utilise des exploits du jour zéro pour infiltrer un appareil sans que le propriétaire ne s’en aperçoive et une fois dans le système, il peut copier des messages, récolter des photos, enregistrer des appels et même enregistrer secrètement via la caméra ou le microphone.
Le groupe NSO a fait l’objet de plusieurs poursuites judiciaires après des allégations selon lesquelles ses outils auraient été utilisés à mauvais escient par des gouvernements et des agences non gouvernementales pour pirater les téléphones portables de journalistes et d’hommes politiques. La société affirme que sa technologie est destinée à aider à lutter contre le terrorisme ainsi qu’à attraper les pédophiles et les criminels.
Apple exploite le jour zéro courant en 2022
Plus tôt ce mois-ci, Apple a été contraint de publier une mise à jour urgente pour iOS, iPadOS et macOS afin de corriger une paire de vulnérabilités du jour zéro qui étaient déjà exploitées par les cybercriminels. Il s’agissait des sixièmes correctifs Zero Day depuis janvier, sans compter les vulnérabilités Zero Day dans les logiciels qui s’exécutent sur les appareils Apple.
Apple a maintenant dû publier six correctifs Zero Day depuis janvier, ce qui montre la persistance des attaquants à la recherche de vulnérabilités dans les applications populaires, selon Jake Moore, conseiller mondial en cybersécurité chez ESET. De plus, en trouver un dans un Mac peut être très lucratif car de nombreuses personnes supposent encore à tort que les Mac sont toujours protégés sans sécurité et antivirus sur mesure », a déclaré Moore.
Il a critiqué un manque d’informations d’Apple sur les vulnérabilités, le décrivant comme une grosse mise à jour qui devrait être installée immédiatement. Les problèmes avec le noyau signifient généralement de gros problèmes potentiels et signifient que les gens devraient mettre à jour immédiatement, a-t-il déclaré.
Malheureusement, étant en mesure de prendre le contrôle du système d’exploitation, les pirates seraient en mesure de contrôler tout ce qu’ils désirent, ce qui en fait une faille très grave et nécessiterait une correction immédiate », a-t-il déclaré.
Tech Monitor organise une table ronde en association avec Intel vPro sur la manière d’intégrer la sécurité dans les opérations. Pour plus d’informations, visitez NSMG.live.