La fonctionnalité ’iTunes Wi-Fi Sync’ pourrait permettre aux attaquants de détourner votre iPhone, votre iPad à distance

Soyez prudent lorsque vous branchez votre iPhone dans l’ordinateur portable d’un ami pour une charge rapide ou le partage de fichiers sélectionnés.

Les chercheurs de Symantec ont émis un avertissement de sécurité pour les utilisateurs d’iPhone et d’iPad concernant une nouvelle attaque, appelée " TrustJacking ", qui permet à quelqu’un en qui vous avez confiance de contrôler à distance et d’extraire des données de votre appareil Apple.
Apple propose une fonctionnalité de synchronisation iTunes Wi-Fi dans iOS qui permet aux utilisateurs de synchroniser leur iPhone sur un ordinateur sans fil. Pour activer cette fonctionnalité, les utilisateurs doivent accorder une autorisation unique à un ordinateur de confiance (avec iTunes) via un câble USB.
Une fois activée, cette fonctionnalité permet au propriétaire de l’ordinateur d’espionner secrètement votre iPhone via le réseau Wi-Fi sans nécessiter d’authentification, même si votre téléphone n’est plus physiquement connecté à cet ordinateur.
"En lisant le texte, l’utilisateur est amené à croire que cela n’est pertinent que lorsque l’appareil est physiquement connecté à l’ordinateur, donc suppose que le déconnecter empêchera tout accès à ses données privées", a déclaré Symantec.
Comme il n’y a pas d’indication visible sur l’appareil de la victime, Symantec pense que la fonctionnalité pourrait exploiter la « relation de confiance que la victime a entre son appareil iOS et un ordinateur ».

Les chercheurs suggèrent des scénarios suivants où l’attaque TrustJacking peut être effectuée avec succès, en particulier lorsque vous faites confiance à un mauvais ordinateur :

  • Connexion de votre téléphone à un chargeur gratuit dans un aéroport et approbation erronée du message d’autorisation contextuelle pour faire confiance à la station connectée.
  • Un attaquant distant, qui ne se trouve pas dans le même réseau Wi-Fi, peut également accéder aux données de l’iPhone si le PC ou le Mac « digne de confiance » du propriétaire de l’appareil a été compromis par un logiciel malveillant.

De plus, la fonction de synchronisation iTunes Wi-Fi peut également être utilisée pour installer à distance des applications malveillantes sur votre iPhone, télécharger une sauvegarde et voler toutes vos photos, l’historique des conversations SMS / iMessage et les données d’application.

"Un attaquant peut également utiliser cet accès à l’appareil pour installer des applications malveillantes, et même remplacer les applications existantes par une version modifiée qui ressemble exactement à l’application d’origine, mais qui peut espionner l’utilisateur tout en utilisant l’application. API pour espionner d’autres activités tout le temps ", a déclaré Symantec.
L’attaque TrustJacking pourrait également permettre aux ordinateurs de confiance de regarder l’écran de votre appareil en temps réel en prenant à plusieurs reprises des captures d’écran à distance, en observant et en enregistrant chacune de vos actions.

Apple a maintenant introduit une autre couche de sécurité dans iOS 11, demandant aux utilisateurs d’entrer le mot de passe de leur iPhone tout en couplant leur iPhone avec un ordinateur, après avoir été averti par les chercheurs de Symantec.
Toutefois, Symantec affirme que la faille reste ouverte, car le correctif ne répond pas à la principale préoccupation, à savoir l’absence d’indication notable ou de ré-authentification obligatoire entre l’appareil de l’utilisateur et l’ordinateur de confiance après un intervalle de temps donné.
"Bien que nous apprécions les mesures d’atténuation qu’Apple a prises, nous aimerions souligner qu’il n’aborde pas Trustjacking d’une manière holistique", a déclaré Roy Iarchy de Symantec. "Une fois que l’utilisateur a choisi de faire confiance à l’ordinateur compromis, le reste de l’exploit continue à fonctionner comme décrit ci-dessus."
Le moyen le plus simple et le plus simple de vous protéger est de veiller à ce qu’aucun ordinateur indésirable ne soit approuvé par votre appareil iOS. Pour cela, vous pouvez supprimer la liste des ordinateurs approuvés en allant dans Paramètres → Général → Réinitialiser → Réinitialiser l’emplacement et la confidentialité.
Aussi, le plus important, toujours refuser l’accès lorsqu’on lui demande de faire confiance à l’ordinateur tout en chargeant votre appareil iOS. Votre appareil se chargerait toujours en utilisant l’ordinateur, sans exposer vos données.

Dans la même rubrique

| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | ... | 31 |

Actu en image