Les chercheurs en cybers\u00e9curit\u00e9 ont document\u00e9 une nouvelle technique de persistance post-exploit sur iOS 16 qui pourrait \u00eatre exploit\u00e9e pour voler sous le radar et acc\u00e9der \u00e0 un appareil Apple m\u00eame lorsque la victime pense qu’il est hors ligne.<\/p>\n
La m\u00e9thode “fait croire \u00e0 la victime que le mode avion de son appareil fonctionne alors qu’en r\u00e9alit\u00e9 l’attaquant (\u00e0 la suite d’un exploit d’appareil r\u00e9ussi) a plant\u00e9 un mode avion artificiel qui modifie l’interface utilisateur pour afficher l’ic\u00f4ne du mode avion et coupe la connexion Internet \u00e0 toutes les applications sauf l’application de l’attaquant. “, ont d\u00e9clar\u00e9 Hu Ke et Nir Avraham, chercheurs de Jamf Threat Labs, dans un rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Mode avion<\/a>comme son nom l’indique, permet aux utilisateurs de d\u00e9sactiver les fonctionnalit\u00e9s sans fil de leurs appareils, les emp\u00eachant ainsi de se connecter aux r\u00e9seaux Wi-Fi, aux donn\u00e9es cellulaires et au Bluetooth, ainsi que d’envoyer ou de recevoir des appels et des SMS.<\/p>\n L’approche con\u00e7ue par Jamf, en un mot, donne l’illusion \u00e0 l’utilisateur que le mode avion est activ\u00e9 tout en permettant \u00e0 un acteur malveillant de maintenir furtivement une connexion au r\u00e9seau cellulaire pour une application malveillante.<\/p>\n “Lorsque l’utilisateur active le mode avion, l’interface r\u00e9seau pdp_ip0<\/a> (donn\u00e9es cellulaires) n’afficheront plus les adresses IP ipv4\/ipv6″, ont expliqu\u00e9 les chercheurs. “Le r\u00e9seau cellulaire est d\u00e9connect\u00e9 et inutilisable, du moins au niveau de l’espace utilisateur.”<\/p>\n Alors que les changements sous-jacents sont effectu\u00e9s par Centre de communication<\/a>les modifications de l’interface utilisateur (UI), telles que les transitions d’ic\u00f4nes, sont prises en charge par le SpringBoard.<\/p>\n Le but de l’attaque est donc de concevoir un mode avion artificiel qui conserve intactes les modifications de l’interface utilisateur, mais conserve la connectivit\u00e9 cellulaire pour une charge utile malveillante install\u00e9e sur l’appareil par d’autres moyens.<\/p>\n “Apr\u00e8s avoir activ\u00e9 le mode Avion sans connexion Wi-Fi, les utilisateurs s’attendraient \u00e0 ce que l’ouverture de Safari n’entra\u00eene aucune connexion \u00e0 Internet”, ont d\u00e9clar\u00e9 les chercheurs. “L’exp\u00e9rience typique est une fen\u00eatre de notification qui invite l’utilisateur \u00e0” d\u00e9sactiver le mode avion “.”<\/p>\n Pour r\u00e9ussir la ruse, le d\u00e9mon CommCenter est utilis\u00e9 pour bloquer l’acc\u00e8s aux donn\u00e9es cellulaires pour des applications sp\u00e9cifiques et le d\u00e9guiser en mode avion au moyen d’un fonction accroch\u00e9e<\/a> qui modifie la fen\u00eatre d’alerte pour donner l’impression que le param\u00e8tre a \u00e9t\u00e9 activ\u00e9.<\/p>\n Il convient de noter que le noyau du syst\u00e8me d’exploitation informe le CommCenter via une routine de rappel, qui, \u00e0 son tour, informe le SpringBoard d’afficher la fen\u00eatre contextuelle.<\/p>\n Un examen plus approfondi du d\u00e9mon CommCenter a \u00e9galement r\u00e9v\u00e9l\u00e9 la pr\u00e9sence d’une base de donn\u00e9es SQL utilis\u00e9e pour enregistrer l’\u00e9tat d’acc\u00e8s aux donn\u00e9es cellulaires de chaque application (alias bundle ID), avec un indicateur d\u00e9fini sur la valeur “8” si une application est bloqu\u00e9e. y acc\u00e9der.<\/p>\n “En utilisant cette base de donn\u00e9es d’ID de bundles d’applications install\u00e9es, nous pouvons d\u00e9sormais bloquer ou autoriser s\u00e9lectivement une application \u00e0 acc\u00e9der au Wi-Fi ou aux donn\u00e9es cellulaires en utilisant le code suivant”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Lorsqu’il est combin\u00e9 avec les autres techniques d\u00e9crites ci-dessus, le faux mode avion semble maintenant agir comme le vrai, sauf que l’interdiction d’Internet ne s’applique pas aux processus non applicatifs tels qu’un cheval de Troie de porte d\u00e9rob\u00e9e.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/European-Bank-Customers-Targeted-in-SpyNote-Android-Trojan-Campaign.png\")
<\/a><\/center><\/section>\n![\"Mode](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/1692312997_244_Le-nouvel-exploit-Apple-iOS-16-permet-un-acces-cellulaire.jpg\" "\\"Mode")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgNmNiBV8c8Rp0Xy6N9lCX9JL2cBlrjkSeuW4JhgOVQ3mKTsYV4pPvh3nDz32D97D8XcWQ53EJ1p4n2VX0gZH_YrBZBqElUMfzFWgb50P8lv1iac_1f-p5liZzC1ISVWJygv2s1Qm36rOHwk_kPXUNNT3nbSDr144QYZ6XGq0aXRDOrFfSlUnHnc0x4Fe_F\/s728-e3650\/cis-d.gif\")
<\/a><\/center><\/section>\n