Application, réseau et OS… Pour Pradeo, la résurgence actuelle du spyware Pegasus met en lumière un problème fondamental des terminaux mobiles.

Selon Pradeo, un terminal mobile peut être compromis au niveau de l’application (76 % des fuites de données mobiles), du réseau (cellulaire, Wi-Fi, BlueTooth, NFC…) et du système d’exploitation, via ses vulnérabilités et des failles de configuration qui permettent l’élévation des privilèges et autorisent ainsi les hackers à accéder aux données des utilisateurs stockées sur l’appareil. «Pegasus agit à chacun de ces niveaux pour espionner ses victimes», explique l’éditeur spécialisé en sécurité mobile,. Et de produire une liste (évolutive) pour déterminer quels OS et applications sont vulnérables à Pegasus.

Si quelque 50 000 personnes ont été directement touchées par le spyware, les informations volées concernent également toutes les personnes en contact avec les victimes. Parfois, il est simplement plus facile d’atteindre une cible à travers son réseau. Et c’est aussi ce que fait Pegasus…

Bien qu’Android et iOS soient développés en tenant compte des problématiques de sécurité mobile, avec Pegasus, NSO démontre que les protections standard des OS mobiles ne sont pas assez fiables. Elles ne peuvent véritablement protéger les données des utilisateurs. De là, estime Pradeo, la nécessité d’ajouter une couche supplémentaire de sécurité à tous les terminaux mobiles.

Toujours le même mode opératoire

Pour compromettre des cibles critiques, Pegasus exploite les vulnérabilités d’applications courantes telles que iMessage, FaceTime, Safari, WhatsApp. Toutes possèdent un module web (WebKit, WebView…) afin d’atteindre des URL générées dynamiquement, invisibles et non classifiées.

Pegasus, un mode opératoire aujourd’hui bien compris…

Les pages atteintes exécutent alors du code JavaScript. Le code permet d’exploiter d’autres vulnérabilités afin de sortir des sandboxes des applications. Tous les mécanismes en place dans les systèmes Android et iOS sont ainsi contournés.

Une fois dans les couches du système, Pegasus exploite une séquence de vulnérabilités connues et zero- day du processeur. Le but, alors, est d’exécuter du code arbitraire (Arbitrary Code Execution) sans nécessiter que le système soit «rooté» ou «jailbreaké». Le code est chargé directement dans la RAM et non en tant qu’application. Ce qui le rend délicat à détecter. Après avoir franchi toutes ces étapes, Pegasus exfiltre massivement les données des utilisateurs, y compris les données chiffrées (conversations WhatsApp, Telegram, Signal…).

iOS n’est pas une forteresse imprenable

Jusqu’à présent, la croyance commune était que l’approche fermée inhérente au système iOS la rendait resistante aux cyberattaques, poursuit Pradeo. Le projet Pegasus a définitivement mis à bas ce mythe urbain avec, entre autres, un iPhone 12 Pro Max exécutant la dernière version du système 14.6 ayant été compromis par une attaque zero-clic qui exploite une vulnérabilité zero-day de iMessage en juin 2021.

«Lorsque nous parlons de quelque chose comme un iPhone, ils exécutent tous le même logiciel dans le monde entier. Donc, trouver le moyen de pirater un iPhone signifie avoir trouvé le moyen de tous les pirater», a commenté Edward Snowden.

Malgré les efforts considérables déployés par Apple, iOS est faillible autant que n’importe quel autre système. Et le fait que la plupart des appareils fonctionnent simultanément avec la même version a ses inconvénients. Les cybermenaces évoluent en permanence; s’introduire dans le système d’Apple est un défi lucratif pour les pirates.

La sécurité mobile est un domaine spécifique et essentiel de la cybersécurité

Pegasus met l’emphase sur la criticité des smartphones dans notre monde ultra-connecté et le besoin urgent de mesures de sécurité adaptées pour éviter l’exfiltration des données mobiles. Jusqu’à présent, la mobilité a trop souvent été laissée de côté dans les stratégies d’ sécurité globale, constate Pradeo.

Pour ce spécialiste, reconnu par Gartner, Forrester et IDC, «il est temps d’éviter l’écueil de la standardisation. Le désir compréhensible d’utiliser une seule solution de sécurité unifiée dans tous les environnements (PC, serveurs et terminaux mobiles) freine la mise en œuvre de réponses de sécurité adaptées à l’environnement mobile… sauf si ceux-ci ne suivent les mêmes principes d’architecture et n’utilisent le même système d’exploitation.»

Pegasus à l’origine d’une évolution dans la protection des terminaux mobiles

`La mobilité a réinventé les usages connectés, mêlant activités personnelles et professionnelles, créant une large surface d’attaque pour les hackers. Les mécanismes de sécurité traditionnels doivent être considérés comme dépassés au regard de la spécificité et de la vivacité des menaces mobiles.

«La démocratisation des applications et l’hyperconnectivité associée aux usages mobiles imposent une approche entièrement nouvelle de la sécurité», insiste encore Pradeo. Le renseignement sur les cybermenaces mobiles est un domaine d’expertise dédié qui permet de fournir des capacités de détection et des solutions adaptées à l’environnement mobile. L’approche qui exploite à la fois les applications, les réseaux et les systèmes d’exploitation doit être au cœur de l’expertise des solutions de sécurité mobile dédiées.

Pegasus sera certainement à l’origine d’une évolution dans la protection des terminaux mobiles. Le défi consiste maintenant à suivre la bonne direction et les étapes appropriées pour fournir une approche de sécurité complète.

Pour Pradeo, les solutions ‘all-in-one’ ont fait leur temps.L’affaire Pegasus a montré que les solutions de sécurité mobile dédiées feront la différence…