Contexte de l’attaque

L’enquête de WIRED révèle qu’un logiciel espion commercialisé par NSO Group, identifié comme Pegasus, a été déployé sans aucune interaction de l’utilisateur. L’article précise que la campagne cible des smartphones sous iOS 16.5 et Android 13, deux versions récentes dont les correctifs de sécurité sont déjà publiés. Cette situation constitue un « nightmare scenario » parce que la compromission se produit avant même que la victime n’ouvre un message ou ne clique sur un lien.

Mécanisme de diffusion via les publicités ciblées

Le vecteur d’infection repose sur un réseau d’ad exchange qui insère une balise JavaScript malveillante dans des publicités affichées dans des applications légitimes. L’article indique que la balise est servie uniquement à des appareils sélectionnés grâce à des critères de géolocalisation et de profil d’appareil, ce qui rend la campagne difficile à détecter à grande échelle. La publicité apparaît visuellement comme un contenu ordinaire, mais le script déclenche immédiatement l’exploit dès le rendu du composant publicitaire.

Chaîne d’exploitation zero‑click et composant vulnérable

Selon le rapport, l’exploit s’appuie sur une vulnérabilité de type zero‑click dans le moteur de rendu WebKit d’iOS et sur un composant similaire du framework WebView d’Android. La faille permet l’exécution de code natif dès le décodage du contenu publicitaire, contournant les protections sandbox classiques. Aucun échange de données n’est requis ; le code malveillant télécharge ensuite le chargeur Pegasus, qui établit une connexion chiffrée avec les serveurs de commande et contrôle de NSO.

Analyse des impacts et contre‑mesures

Le texte souligne que la nature zero‑click empêche les solutions de détection basées sur le comportement de l’utilisateur, car aucune action n’est enregistrée dans les journaux d’activité. Les chercheurs ont pu identifier la compromission uniquement grâce à l’analyse de trafic réseau anormal et à la comparaison de signatures de paquets avec des échantillons connus de Pegasus. L’article recommande de mettre à jour immédiatement les systèmes d’exploitation, de désactiver les services de messagerie qui utilisent WebKit lorsqu’ils ne sont pas nécessaires, et d’employer des solutions de mobilité sécurisée capables d’inspecter le trafic TLS en sortie. Enfin, il rappelle que la responsabilité de la chaîne publicitaire doit être renforcée par des audits de sécurité afin d’éviter que des réseaux d’annonces deviennent des vecteurs d’infection de ce type.