Comme le sparadrap du capitaine Haddock, Apple ne parvient pas à se débarrasser de Pegasus, le malware développé par NSO Group qui permet à des États voyous de surveiller les opposants politiques, les journalistes et les activistes des droits de l'Homme. Le mois dernier, une enquête d'Amnesty International a montré comment ce logiciel malveillant avait pu se jouer des protections d'iOS et d'Android en utilisant une attaque « zero click » : l'infection ne nécessite aucune intervention de la victime, elle passe par l'app Messages sur l'iPhone.
Citizen Lab, un laboratoire canadien qui travaille les questions du contrôle de l'information, rapporte un nouveau cas qui confirme la fragilité de BlastDoor. Ce dispositif, déjà mis à mal par les révélations du mois de juillet, a été mis au point par Apple dans iOS 14, avec pour mission de protéger iOS de ce type d'attaque. Pas de bol, il n'a été d'aucun secours pour ces activistes basés au Bahrein dont les iPhone ont été piratés entre juin 2020 et février 2021.
Une des victimes a été frappée en février dernier avec une faille baptisée ForcedEntry par Citizen Lab (Amnesty International parlait de Megalodon, a priori c'est la même chose). Cette vulnérabilité a été employée avec iOS 14.4 et iOS 14.6, et BlastDoor ne peut rien y faire. Les chercheurs en sécurité de Citizen Lab ont signalé la découverte à Apple, qui en retour n'a pas voulu indiquer si ces failles avaient été trouvées et corrigées.
Un porte-parole d'Apple, Ivan Krstic, a dépoussiéré la déclaration faite en juillet suite aux révélations d'Amnesty :
Pegasus : Apple condamne les piratages et assure que l'iPhone reste le smartphone « le plus sécurisé »
Le constructeur ajoute tout de même que BlastDoor ne marque pas la fin des efforts pour sécuriser Messages et qu'iOS 15 apporte des protections supplémentaires.
Source : TechCrunch
