Apple : des hackers exploitent une faille corrigée pour diffuser un malware d'espionnage

Contexte de la vulnérabilité

La faille, déjà corrigée par Apple dans une mise à jour logicielle, concerne un composant du système d'exploitation qui gère les privilèges d’accès aux données utilisateur. La correction a été diffusée via les canaux de mise à jour standard, mais le code vulnérable reste présent dans les versions antérieures non mises à jour. Le rapport de la CISA indique que des acteurs malveillants ciblent spécifiquement les appareils qui n’ont pas appliqué le correctif, exploitant ainsi le même vecteur que celui initialement découvert.

Méthode d'exploitation

Les attaquants utilisent un code d’injection qui s’appuie sur la chaîne d’appel du composant corrigé. En déclenchant une condition d’erreur contrôlée, ils obtiennent un exécution de code arbitraire avec les droits du système. Cette technique ne nécessite pas de privilèges administratifs préalables, ce qui la rend exploitable depuis un simple site web ou un courriel piégé. La CISA précise que le mécanisme d’exploitation a été observé dans plusieurs campagnes récentes, toutes basées sur le même binaire modifié.

Caractéristiques du malware d’espionnage

Le logiciel déployé après l’exploitation est classé comme « info‑stealing » : il collecte les identifiants de connexion, les cookies de session et les données de localisation. Les échantillons analysés montrent une communication chiffrée vers des serveurs de commande et contrôle situés hors des juridictions américaines. Le code du malware inclut des routines de persistance qui réinstallent le chargeur si le processus principal est interrompu, garantissant ainsi une présence continue tant que le dispositif reste non patché.

Recommandations de la CISA et mesures de mitigation

La CISA recommande d’appliquer immédiatement le correctif fourni par Apple, de vérifier la version du système d’exploitation sur chaque appareil et de désactiver les services réseau non essentiels. Elle conseille également de surveiller les flux réseau sortants pour détecter des connexions vers des domaines inconnus, ainsi que d’utiliser des solutions de détection d’anomalies basées sur le comportement. En l’absence de mise à jour, la CISA suggère de recourir à des solutions de sandboxing afin de limiter l’impact potentiel d’une exécution de code non autorisée.