La redoutable vulnérabilité iOS « zéro clic » du groupe NSO a fait la une des journaux en 2021 alors qu’elle attaquant pour accéder à un point de terminaison alimenté par iOS sans l’implication de l’utilisateur.
Mais il semble maintenant que NSO n’était pas la seule entreprise à avoir réussi à réaliser ce que les chercheurs de Google ont décrit comme un piratage « incroyable et terrifiant », car Reuter affirme qu’à peu près au même moment, une autre société israélienne (mais moins connue), QuaDream, a atteint le même objectif.
Les chercheurs qui ont analysé la méthodologie des deux sociétés ont déclaré qu’elles étaient très similaires, jusqu’au fait qu’une fois qu’Apple a corrigé la vulnérabilité de NSO, cela a également rendu celle de QuaDream inutile.
Exploits iOS sans clic
Le groupe NSO (une entreprise technologique israélienne principalement connue pour ses logiciels espions propriétaires) a conçu un mécanisme d’attaque « contre lequel il n’y a aucune défense », car aucun antivirus mobile ne serait en mesure de le repérer.
Aussi connu sous le nom d’exploit « zéro-clic », c’est comme ça – la victime n’a même pas besoin de cliquer sur quoi que ce soit pour être compromise, pour se faire voler ses données ou son identité. Fondamentalement, tout ce qu’il a à faire est de recevoir un message SMS via le service iMessage d’Apple.
La méthodologie d’attaque elle-même est plutôt complexe et implique de « faux » gifs, des analyseurs PDF CoreGraphics, le codec JBIG2 et une architecture informatique entièrement « nouvelle » qui n’est « pas aussi rapide que Javascript, mais qui est fondamentalement équivalente en termes de calcul ».
La vulnérabilité est enregistrée en tant que CVE-2021-30860 et a été corrigée le 13 septembre 2021 dans iOS 14.8. Apparemment, il existe également une version Android, mais les chercheurs n’ont pas encore obtenu d’échantillon.
Une fois le chat sorti du sac, le gouvernement américain a mis NSO sur liste noire, affirmant qu’il développait des outils utilisés contre les civils, ce que NSO a non seulement nié, mais a en outre déclaré qu’il travaillait pour « soutenir les intérêts et les politiques de sécurité nationale des États-Unis en prévenant le terrorisme et le crime. ”
AWS a également interdit NSO, Apple a intenté une action en justice, qui a ensuite été soutenue par à peu près toutes les entreprises technologiques notables des États-Unis.
NSO dit que le travail n’était pas un effort d’équipe et QuaDream n’a pas pu être joint pour commenter.