Un spyware distribué dans une app iOS grâce au certificat d’entreprise d’Apple
Où l’on reparle (en mal) des certificats d’entreprise. Ce système permet aux entreprises de distribuer leurs applications à usage interne en dehors du contrôle de l’App Store. Ce certificat a été largement détourné de sa fonction première par de grands noms, comme Facebook et Google, mais aussi par des éditeurs plus obscurs fournissant des apps porno ou de casino — et même des applications piratées.
La société de sécurité Lookout a mis la main sur une application espion qui, une fois installée sur l’iPhone de sa victime, siphonne les contacts, les mémos vocaux, les photos, les vidéos, les données de localisation de l’appareil et autres informations confidentielles. Les pirates à l’origine du spyware sont également en mesure d’écouter les appels téléphoniques.
Les chercheurs ignorent quels sont les utilisateurs ciblés par ce spyware ; en revanche, ils savent que l’application a été distribuée via le système de certificat d’entreprise depuis de faux sites d’opérateurs télécoms en Italie et au Turkménistan. Le logiciel espion est lié à l’éditeur Connexxa, auteur d’une application Android du même tonneau utilisée par les autorités italiennes.
Exodus, l’app Android en question, est capable de davantage de méfaits : elle peut obtenir un accès root au système, ce qui lui donne la possibilité d’obtenir à peu près toutes les données du smartphone. Les deux applications iOS et Android ont la même infrastructure de backend ; néanmoins, alors qu’Exodus était disponible librement au téléchargement sur le Play Store, sur iOS il fallait la télécharger depuis un site web puis installer le certificat.
Apple a assuré qu’il s’agissait là d’une infraction à ses règles, les applications installées avec un certificat d’entreprise ne pouvant être utilisées qu’en interne. Prévenu par Lookout, le constructeur a révoqué le certificat de cet éditeur.
« Exodus était disponible librement au téléchargement sur le Play Store »
Comment peut on donner un mobile Android à ses enfants ?
En même temps il faut quand même être un champion du monde pour installer une application qui ne vient pas de l’App Store
@broketschnok
Ah mais il y a des champions du monde en tout... quand on voit que certains font plus confiance à des sites de théorie du complot qu’aux sites d’information renommés, allant même jusqu’à insinuer que ces derniers mentent, il n’auraient pas trop d’objections à installer ce genre d’app fournie par un de ces sites...
@House M.D.
+1.
Entièrement d’accord ! Ce genre de champions !!! Affligeant !
@broketschnok
Ah mais il y a des champions du monde en tout... quand on voit que certains érigent les journalistes en garants de la vérité et gobent volontiers le prêt à penser véhiculé par les médias "de renom", allant même jusqu'à insinuer que chaque voix dissonante est révélatrice du fachisme, du raciste ou du nazisme de celui qui la fait entendre, il n’auraient pas trop d’objections à installer ce genre d’app fournie par un de ces sites...
Il suffit que l'app en question promette des super fonctionnalités que les règles de l'AppStore interdisent et certains se laisseront tenter. C'est pas plus stupide que le jailbreak.
@SyMich
Bon après une app d’assistance téléphonique... ça fait moins rêver ?
Peut-être en faisant croire via un e-mail frauduleux, qu'il s'agissait d'une app de l'opérateur téléphonique dont les clients ont pu se laisser berner et ont accepté également de télécharger et installer le "certificat" (comme on accepte souvent sans trop réfléchir la mise à jour des "réglages opérateur")
@SyMich
Complètement faux.
Le jailbreak a toujours permis de sécuriser la faille qu’elle exploitait (après jailbreak). Donc vous ne pouvez pas dire que c’est la même chose. La façon de faire et la finalité sont totalement différentes.
Par contre, effectivement dans les deux cas, il y a de multiples avertissements de mise en garde.
Il faut le vouloir pour aller chercher cette application et valider soit même l’installation du certificat.
C’est la qu’on est content que l’app store est très bien filtré pour nous.
Même si cela le rend pas pour autant invulnérable.
Merci lookout
J'enlèverais "d’Apple" dans le titre ça porte à la confuse
@bunam
Vrai !
@MrMeteo
+1
c'est pour des clics mais les gens n'ont pas répondu. ils s'en foutent en fait, que la montée des prix les révolte, pas autre chose.
le certificat d'entreprise permet d'installer en dehors de Apple Store. y en a trois manières d'installer un app iOS, App Store, le certificat d'entreprise et le SDK.
d'installer un app c'est pas une chose terrible. heureusement que ça existe encore sur les ordinateurs et le macOS n'est pas devenu pour le moment un système fermé comme l'est iOS.
@bunam
Et la première phrase aussi,qui ne semble pas vraiment française...
@QNTN
L’accent fait toute la différence :)
Rien à voir avec l'article, mais Lookout est disponible avec mon abonnement mobile, et il me demande l'installation d'un VPN, est-ce sécurisé ?