Généralement le pire Ce qui se passe lorsque vous avez des dizaines d’onglets de navigateur ouverts, c’est que vous ne trouvez pas celui qui commence soudainement à diffuser des publicités aléatoires. Mais un groupe de vulnérabilités macOS – corrigées par Apple à la fin de l’année dernière – aurait pu exposer vos onglets Safari et d’autres paramètres de navigateur à une attaque, ouvrant la porte aux pirates pour prendre le contrôle de vos comptes en ligne, allumer votre microphone ou prendre sur votre webcam.
MacOS dispose de protections intégrées pour empêcher ce type d’attaque, y compris Gatekeeper, qui confirme la validité du logiciel exécuté par votre Mac. Mais ce hack a contourné ces protections en abusant des fonctionnalités iCloud et Safari auxquelles macOS fait déjà confiance. Tout en recherchant les faiblesses potentielles de Safari, le chercheur indépendant en sécurité Ryan Pickren a commencé à examiner le mécanisme de partage de documents d’iCloud en raison de la confiance inhérente entre iCloud et macOS. Lorsque vous partagez un document iCloud avec un autre utilisateur, Apple utilise une application en coulisse appelée ShareBear pour coordonner le transfert. Pickren a découvert qu’il pouvait manipuler ShareBear pour offrir aux victimes un fichier malveillant.
En fait, le fichier lui-même n’a même pas besoin d’être malveillant au début, ce qui permet d’offrir plus facilement aux victimes quelque chose de convaincant et de les inciter à cliquer. Pickren a découvert qu’en raison de la relation de confiance entre Safari, iCloud et ShareBear, un attaquant pouvait en fait revoir ce qu’il partageait avec une victime plus tard et échanger silencieusement le fichier contre un fichier malveillant. Tout cela peut se produire sans que la victime ne reçoive une nouvelle invite d’iCloud ou ne se rende compte que quelque chose a changé.
Une fois que le pirate a organisé l’attaque, il peut essentiellement prendre le contrôle de Safari, voir ce que la victime voit, accéder aux comptes auxquels la victime est connectée et abuser des autorisations que la victime a accordées aux sites Web pour accéder à sa caméra et à son microphone. Un attaquant pourrait également accéder à d’autres fichiers stockés localement sur le Mac de la victime.
« L’attaquant perce essentiellement un trou dans le navigateur », explique Ryan Pickren, le chercheur en sécurité qui a révélé les vulnérabilités à Apple. « Donc, si vous êtes connecté à Twitter.com sur un onglet, je pourrais sauter dessus et faire tout ce que vous pouvez depuis Twitter.com. Mais cela n’a rien à voir avec les serveurs ou la sécurité de Twitter ; En tant qu’attaquant, j’assume simplement le rôle que vous avez déjà dans votre navigateur.
En octobre, Apple a corrigé la vulnérabilité du moteur WebKit de Safari et apporté des révisions à iCloud. Et en décembre, il a corrigé une vulnérabilité connexe dans son outil d’automatisation et d’édition de code Script Editor.
« Il s’agit d’une chaîne d’exploitation impressionnante », déclare Patrick Wardle, chercheur de longue date et fondateur de l’association de sécurité macOS Objective-See. « Il est intelligent qu’il exploite les défauts de conception et utilise de manière créative les capacités macOS intégrées pour contourner les mécanismes de défense et compromettre le système. »
Pickren a précédemment découvert une série de bugs Safari qui auraient pu activer les prises de contrôle de webcam. Il a divulgué les nouvelles découvertes via le programme de primes aux bogues d’Apple à la mi-juillet, et la société lui a accordé 100 500 €. Le montant n’est pas sans précédent pour le programme de divulgation d’Apple, mais sa taille reflète la gravité des défauts. En 2020, par exemple, l’entreprise a déboursé 100 000 € pour une faille cruciale dans son système d’authentification unique Sign In With Apple.