Un nouveau cheval de Troie imputé à iOS et à l'iPhone a été découvert par des chercheurs en cybersécurité. Celui-ci serait capable de simuler l'extinction (électrique) de l'appareil et d'utiliser sa caméra, même lorsqu'il est éteint.
C'est une start-up californienne spécialisée dans l'analyse des cyberattaques mobiles, ZecOps, qui a fait cette découverte. Elle est parvenue à démontrer qu'un nouveau malware peut être exploité sur iOS et qu'il permet aux attaquants de faire des choses « amusantes ». Ce nouveau cheval de Troie est en effet capable de donner l'illusion à son utilisateur que son iPhone est éteint, alors qu'il est en réalité en train de l'espionner à l'aide de son microphone et de sa caméra. Difficile de faire mieux en matière de malware persistant.
Vous pensiez votre iPhone éteint…
La théorie (mais vous savez ce qu'on en dit !) veut que généralement, après avoir supprimé un logiciel malveillant de son appareil iOS, il suffit de redémarrer ce dernier pour définitivement effacer de sa mémoire les traces du malware. Sauf que l'équipe de chercheurs de ZecOps s'est aperçue que l'iPhone était faillible à ce niveau-là, et que n'exploitant pas une faille de la plateforme iOS, elle ne peut pas être corrigée par Apple.
Quelle est l'originalité de ce malware, dont ZecOps est parvenu à prouver l'efficacité ? On pourrait presque parler de magie, car ce trojan peut empêcher l'utilisateur de redémarrer manuellement son iPhone infecté, tout en faisant croire à son propriétaire que le téléphone a bien été éteint puis redémarré. Ce tour de passe-passe, qui fait du malware un petit diable persistant, lui a donné son nom : « NoReboot ».
Mais comment parvient-il à empêcher l'arrêt véritable de l'appareil tout en simulant le redémarrage ? Les spécialistes arrivent en réalité à « détourner l'événement d'arrêt de l'appareil ». En fait, au lieu d'arrêter l'iPhone, le malware va injecter du code dans des démons iOS : InCallService, SpringBoard et BackBoardd. Généralement, InCallService envoie un signal d'arrêt à SpringBoard, quand vous éteignez manuellement votre iPhone. Sauf qu'ici, InCallService n'envoie pas le signal à SpringBoard, mais il demande à SpringBoard et BackBoardd d'exécuter le code injecté dont nous parlions.
Un malware qui use de fourberie et de contournement pour donner l'illusion de l'extinction et du redémarrage de l'appareil
La combine fonctionne jusqu'au bout, et le cheval de Troie poursuit le processus d'arrêt, jusqu'à la roue qui tourne, qui disparaît très rapidement et crée cette illusion du téléphone éteint. Sauf que l'iPhone est toujours allumé et connecté à Internet, même s'il ne répond plus. En réalité, seuls les signaux audio et visuels sont désactivés, comme l'écran, le vibreur ou le son.
Une fois le tour de passe-passe validé, que peuvent faire les attaquants ? Pendant que vous pensez que votre téléphone est éteint, l'attaquant peut tout simplement utiliser votre caméra et votre microphone. Le malware, qui tient plus du contournement, de la tromperie que de la vulnérabilité iOS, se contente alors d'un rôle - déjà suffisamment grave - d'espion. Surtout que NoReboot peut aussi simuler le redémarrage de l'appareil.
Le cheval de Troie joue encore avec les démons iOS. Si le propriétaire de l'iPhone décide de redémarrer le téléphone encore en marche, le Backboardd, calé sur les saisies de l'utilisateur, peut simuler un redémarrage, allant même jusqu'à afficher le logo Apple, comme il a affiché la roue qui tourne au moment de la fausse extinction. En faisant croire à l'extinction et au redémarrage de l'appareil, le malware est ainsi persistant.
Malwarebytes explique de son côté que « ce n'est qu'une question de temps avant que les hackers sévissant sur iOS commencent à l'intégrer dans leurs kits de logiciels malveillants ». Dans le cas où vous redoutiez avoir été compromis, votre persistance sera plus forte que celle du malware. Ainsi, même après l'apparition du logo Apple, maintenez les boutons de redémarrage enfoncés et passez au-dessus de la supercherie, ce qui finira par vraiment éteindre, puis redémarrer l'iPhone.
Sources : GitHub-ZecOps, Malwarebytes
