Opération Triangulation : une attaque sophistiquée et mystérieuse qui visait des iPhone
« La plus sophistiquée des chaines d'attaque que nous ayons vue », c'est en ces termes que Kaspersky décrit un malware découvert l'été dernier sur les iPhone. À l'époque, le FSB (Service fédéral de sécurité de la Fédération de Russie, ex-KGB) avait accusé Apple d'avoir collaboré avec la NSA pour espionner les iPhone d'utilisateurs travaillant dans les missions diplomatiques russes de certains pays membres de l'OTAN et ailleurs à travers le monde.
La Russie bannit l'iPhone de son administration par crainte d'espionnage
Ce malware a pu fonctionner pendant au moins quatre ans avant d'être détecté et identifié sous le nom d'opération "Triangulation". En référence à une étape de l'infection où le logiciel "dessine" une forme triangulaire dans la mémoire de l'appareil ciblé. Après des mois d'étude de ce malware et de son fonctionnement, Kasperksy n'en a pas trouvé toutes les clefs. Un premier compte-rendu très technique de ses découvertes a été publié, d'autres suivront pour détailler chacune des étapes de l'infection qui débutait par la réception d'un iMessage contenant un PDF, que l'app de messagerie traitait, sans aucune action requise de l'utilisateur.
Car le processus est complexe — il rebondissait sur quatre vulnérabilités jamais identifiées — et témoigne d'un très haut niveau de compréhension des arcanes matériels des iPhone (le malware pouvait aussi fonctionner sur des iPod touch, iPad, Mac, Apple TV ou Apple Watch). Kaspersky a fini par comprendre que le logiciel utilisait une fonction matérielle cachée et inconnue (ou de peu de monde).
Les adresses MMIO (Memory-Mapped I/O) sont des registres mémoires dans le processeur dont le malware se sert pour communiquer avec des périphériques ou autres composants matériels comme le GPU ou la RAM. La liste de ces adresses n'est pas un secret et peut être récupérée, mais certaines n'y figuraient pas. Ces adresses inconnues étaient toutes liées au composant graphique. La raison de leur présence n'est pas explicable en l'état, peut-être étaient-elles là à des fins de débogage ?
De même, les chercheurs de Kaspersky ne s'expliquent pas comment les auteurs du malware ont pu les repérer. Certaines ont pu l'être par hasard ou à force de recherches et d'essais, mais cela n'explique pas toutes les découvertes faites ensuite pour réussir, au final, à contourner les protections en place. Le malware ne survivait pas à un redémarrage de l'appareil mais son propriétaire faisait l'objet par la suite d'une nouvelle attaque pour réimplanter l'intrus.
Quant à l'identité ou l'origine possible des auteurs, Kaspersky se garde de désigner un pays ou un gouvernement. Il n'y aurait pas de traces ou d'empreintes qui permettent de relier ce malware à des entités précédemment connues. Apple de son côté a corrigé les failles par des mises à jour pour iOS 15 et iOS 16.
Toujours impressionné par le niveau de technicité de ces attaques.
@fredsoo
Et encore y’a tout ce qu’on sait pas…
Donc Apple a finalement collaboré avec la NSA
@Adodane
Certains accusent Apple d'avoir collaboré avec la NSA suite à des intrusions. Pour autant, il n'est pas indiqué que c'est le cas. Dans un monde bipolaire comme le nôtre, il n'est pas bien compliqué de s'en prendre à un ennemi auto-désigné chaque fois que l'occasion se présente.
@Adodane
du coup pourquoi avoir bouché les failles ya plus de 2 ans?
Je ne pense pas qu'il soit difficile pour la NSA et autres agences d'obtenir les plans des processeurs d'Apple ou Qualcomm. Pour ma part j'ai envie de tester un Pixel sous Grapheneos pour les usages les plus sensibles.
@powergeek:
Même pas besoin. Patriot + Cloud Act règle déjà en détail tout cela.
@debione
Pas vraiment non car si on ne sait donner les données, ces règles ne servent à rien 😉
@Krysten2001:
Faire la différence entre dire qu'on ne sait les donner, et ne pas pouvoir les donner. C'est tout l'esprit du Patriot Act, qui inclu évidemment l'interdiction absolue (haute trahison) de dévoiler quoique ce soit (soupçon de terrorisme=> back door obligatoire ou chemin d'accès privilégié, impossibilité de refuser ou d'en parler).
Ce qui serait très étonnant, c'est que la première puissance mondiale, celle qui maitrise quasi tout ce qui se fait en informatique, qui équipent le 99% des humains équipés n'ait strictement aucun accès, tout en ayant absolument tout l'arsenal législatif et juridique pour le faire.
Sérieusement quelqu'un est étonné?
Qui sont les meilleurs espions?
Ceux que l'on ne pourrait jamais soupçonner d'être des espions?
Ceux qui ignorent eux-même qu'ils sont espions?
Le choix se réduit, et c'est quand même un sacré coup dans l'aile du marketing Apple sur la sécurité des données.
Fonction cachée, des experts qui disent en creux qu'au moins une partie de ces fonctions ne peuvent avoir été découverte par des hackers (donc aussi une partie venant de l'intérieur même d'Apple) le tout en passant par iMessage...
On va attendre la suite, mais ce que je dis depuis l'affaire de san bernadino, à savoir que les gouvernement ont des accès, me semble très plausible.
@debione
> "Qui sont les meilleurs espions?"
L’ironie cinglante du fait que ce soit Kaspersky à étaler au grand jour cette turpitude ne devrait échapper à personne — mais elle va éluder la plupart des gens.
Dans le contexte actuel, le retour de manivelle et le discrédit pas trop subtil sont des éléments du jeu de déstabilisation.
Enfin, je renvoie à l’hiérarchie des secrets établie par le chancelier Konrad Adenauer, qui eut à contenir son lot de taupes soviétiques, dont son propre chef du contre-espionnage (la recette qui fonctionna si bien avec Kim Philby, et probablement avec d’autres) :
1-confidentiel
2-secret
3-top secret
4-connu de l’ennemi
Quant à Apple qui monte sur ses ergots à chaque fois qu’il s’agit de privacy et de prétendue sécurité des données, Jony Ive aurait dû leur dessiner un escabeau portable :
https://www.linkedin.com/posts/xavier-gorce-a625529_stairway-to-heaven-in-newsletter-lepoint-activity-7143887363549663234-wwJ-
@occam
Tes messages m'étonnent souvent, pleins de connaissances pointues dans plein de domaines. 👍
Pour une attaque aussi sophistiquée, il semble en effet devoir y avoir l’implication d’un gouvernement. Le plus facile à pointer du doigt serait le gouvernement américain, bien sûr. Ce qui en plus permet de comprendre la réaction russe.
L’implication d’Apple me semble moins couler de source. Probablement des employés d’Apple travaillant aussi pour une agence américaine ou une autre, ça oui, - encore une raison de penser au gouvernement US plutôt qu’un autre: ils peuvent sûrement obtenir la coopération d’employés d’Apple beaucoup plus facilement qu’un autre gouvernement - mais Apple en tant que société, j’y crois peu car très difficile à garder secret longtemps et conflit direct avec leur discours marketing, ce qui les exposerait, si leur implication est dévoilée, à leur pire cauchemar : la possibilité de gagner moins de sous.
Si Apple voulait se lancer là dedans, elle le ferait ouvertement, marketant à grands coups de pub son « courage » de mettre des backdoors dans ses produits pour combattre le terrorisme.
Enfin, ce n’est que mon humble opinion.
@Simodul
Je me permets d'ajouter qu'il y a aussi plein de possibilités
-tout simplement des failles en vente sur le Dark Web
-des transmissions entre les usines et Apple, captées par la NSA ou autre
-des piratages dans les devices des employés d'Apple directement
-nos amis Israéliens, qui ont bien encore une ou deux sociétés qui sont devenus expertes dans l'art de créer des malwares
@raoolito:
Il y a mille possibilité en effet, toutes plus compliquées et alambiquée les unes que les autres...
Ou alors il y a une possibilité très simple et imparable, patriot act + cloud act...
Les gens ont oublié le fameux article sorti ici même il y a quelques années, quand TC et plein de dirigeants d'entreprises avait été convoqué par le gouvernement, et que suite à cette rencontre le journaliste insistait sur tout ce que TC n'osait pas dire, et que c'était sans doute le plus intéressant?
@Simodul:
Il y a en effet plein de possibilité... Mais pourquoi donc se compliquer la vie quand le droit et les lois vous permettent de le faire sans possibilité d'en parler?
"Si Apple voulait se lancer là dedans, elle le ferait ouvertement, marketant à grands coups de pub son « courage » de mettre des backdoors dans ses produits pour combattre le terrorisme."
Ce n'est pas une question de savoir si Apple voulait se lancer la-dedans, car elle ne le voudrait sans doute pas... Par contre, cela peut-être un non choix, et avec l'impossibilité d'en parler...
Et pas besoin que beaucoup de gens soient au courant, un simple accès à certaines données suffisent, et suivant le niveau hiérarchique peut-être que seul deux-trois personnes sont au courant, et risque la haute trahison si ils ne se taisent pas...
Alors autant un "petit employé" pourrait être tenté par quelques millions en échange de données, autant un des haut dirigeants riches par dizaines de millions ne se risquerait jamais à cela. Et un "petit" employé n'aura jamais accès à tout ce qu'il faut fournir pour arriver à une telle complexité d'usage.