Un certain nombre de vuln\u00e9rabilit\u00e9s zero-day qui ont \u00e9t\u00e9 corrig\u00e9es l’ann\u00e9e derni\u00e8re ont \u00e9t\u00e9 exploit\u00e9es par des fournisseurs de logiciels espions commerciaux pour cibler les appareils Android et iOS, a r\u00e9v\u00e9l\u00e9 le Threat Analysis Group (TAG) de Google.<\/p>\n
Les deux campagnes distinctes \u00e9taient \u00e0 la fois limit\u00e9es et tr\u00e8s cibl\u00e9es, profitant de l’\u00e9cart de correctifs entre la publication d’un correctif et le moment o\u00f9 il a \u00e9t\u00e9 effectivement d\u00e9ploy\u00e9 sur les appareils cibl\u00e9s. L’ampleur des deux campagnes et la nature des cibles sont actuellement inconnues.<\/p>\n
“Ces fournisseurs permettent la prolif\u00e9ration d’outils de piratage dangereux, armant les gouvernements qui ne seraient pas en mesure de d\u00e9velopper ces capacit\u00e9s en interne”, a d\u00e9clar\u00e9 Cl\u00e9ment Lecigne de TAG. a dit<\/a> dans un nouveau rapport.<\/p>\n “Bien que l’utilisation des technologies de surveillance puisse \u00eatre l\u00e9gale en vertu des lois nationales ou internationales, elles sont souvent utilis\u00e9es par les gouvernements pour cibler les dissidents, les journalistes, les d\u00e9fenseurs des droits de l’homme et les politiciens des partis d’opposition.”<\/p>\n La premi\u00e8re des deux op\u00e9rations a eu lieu en novembre 2022 et consistait \u00e0 envoyer des liens raccourcis par SMS \u00e0 des utilisateurs situ\u00e9s en Italie, en Malaisie et au Kazakhstan.<\/p>\n En cliquant, les URL redirigeaient les destinataires vers des pages Web h\u00e9bergeant des exploits pour Android ou iOS, avant d’\u00eatre \u00e0 nouveau redirig\u00e9s vers des sites Web l\u00e9gitimes d’actualit\u00e9s ou de suivi des exp\u00e9ditions.<\/p>\n La cha\u00eene d’exploitation iOS a exploit\u00e9 plusieurs bogues, dont CVE-2022-42856 (alors zero-day), CVE-2021-30900<\/a>et un code d’authentification de pointeur (PAC) contourne<\/a>pour installer un Fichier .IPA<\/a> sur l’appareil sensible.<\/p>\n La cha\u00eene d’exploits Android comprenait trois exploits\u00a0: CVE-2022-3723, CVE-2022-4135 (un jour z\u00e9ro au moment de l’abus) et CVE-2022-38181<\/a> \u2013 pour livrer une charge utile non sp\u00e9cifi\u00e9e.<\/p>\n Alors que CVE-2022-38181<\/a>un bogue d’escalade de privil\u00e8ges affectant Mali GPU Kernel Driver, a \u00e9t\u00e9 corrig\u00e9 par Arm en ao\u00fbt 2022, on ne sait pas si l’adversaire \u00e9tait d\u00e9j\u00e0 en possession d’un exploit pour la faille avant la publication du correctif.<\/p>\n Un autre point \u00e0 noter est que les utilisateurs d’Android qui ont cliqu\u00e9 sur le lien et l’ont ouvert dans le navigateur Internet Samsung ont \u00e9t\u00e9 redirig\u00e9s vers Chrome \u00e0 l’aide d’une m\u00e9thode appel\u00e9e redirection d’intention<\/a>.<\/p>\n La deuxi\u00e8me campagne, observ\u00e9e en d\u00e9cembre 2022, consistait en plusieurs jours z\u00e9ro et jours n ciblant la derni\u00e8re version du navigateur Internet Samsung, les exploits \u00e9tant livr\u00e9s sous forme de liens uniques via SMS vers des appareils situ\u00e9s aux \u00c9mirats arabes unis.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n La page Web, similaire \u00e0 celles utilis\u00e9es par la soci\u00e9t\u00e9 espagnole de logiciels espions Variston IT, a finalement implant\u00e9 une bo\u00eete \u00e0 outils malveillante bas\u00e9e sur C++ capable de r\u00e9colter des donn\u00e9es \u00e0 partir d’applications de chat et de navigateur.<\/p>\n Les failles exploit\u00e9es constituent CVE-2022-4262, CVE-2022-3038<\/a>, CVE-2022-22706<\/a>, CVE-2023-0266<\/a>et CVE-2023-26083<\/a>. La cha\u00eene d’exploitation aurait \u00e9t\u00e9 utilis\u00e9e par un client ou un partenaire de Variston IT.<\/p>\n Amnesty International, dans un rapport coordonn\u00e9, a d\u00e9crit la campagne de piratage de d\u00e9cembre 2022 comme avanc\u00e9e et sophistiqu\u00e9e et que l’exploit est “d\u00e9velopp\u00e9 par une soci\u00e9t\u00e9 commerciale de cybersurveillance et vendu \u00e0 des pirates gouvernementaux pour mener des attaques cibl\u00e9es de logiciels espions”.<\/p>\n “La campagne de logiciels espions r\u00e9cemment d\u00e9couverte est active depuis au moins 2020 et cible les appareils mobiles et de bureau, y compris les utilisateurs du syst\u00e8me d’exploitation Android de Google”, a d\u00e9clar\u00e9 l’organisation non gouvernementale internationale. a dit<\/a>. “Les logiciels espions et les exploits zero-day ont \u00e9t\u00e9 diffus\u00e9s \u00e0 partir d’un vaste r\u00e9seau de plus de 1 000 domaines malveillants<\/a>y compris des domaines usurpant des sites Web de m\u00e9dias dans plusieurs pays.”<\/p>\n Cela dit, l’ampleur des deux campagnes et la nature des cibles sont actuellement inconnues.<\/p>\n Les r\u00e9v\u00e9lations surviennent quelques jours seulement apr\u00e8s que le gouvernement am\u00e9ricain a annonc\u00e9 un d\u00e9cret interdisant aux agences f\u00e9d\u00e9rales d’utiliser des logiciels espions commerciaux qui pr\u00e9sentent un risque pour la s\u00e9curit\u00e9 nationale.<\/p>\n “Ces campagnes nous rappellent que l’industrie des logiciels espions commerciaux continue de prosp\u00e9rer”, a d\u00e9clar\u00e9 Lecigne. “M\u00eame les plus petits fournisseurs de surveillance ont acc\u00e8s aux vuln\u00e9rabilit\u00e9s zero-day, et les fournisseurs qui stockent et utilisent secr\u00e8tement les vuln\u00e9rabilit\u00e9s zero-day pr\u00e9sentent un risque grave pour Internet.”<\/p>\n “Ces campagnes peuvent \u00e9galement indiquer que des exploits et des techniques sont partag\u00e9s entre les fournisseurs de surveillance, permettant la prolif\u00e9ration d’outils de piratage dangereux.”<\/p>\n <\/p>\n