Une vulnérabilité Apple corrigée depuis mai 2024 est désormais associée à des attaques réelles diffusant un malware voleur d’informations. La CISA américaine a ajouté CVE-2024-27834 à son catalogue des vulnérabilités activement exploitées.
Que permet CVE-2024-27834 ?
La faille concerne un mécanisme d’authentification lié à Pointer Authentication. Dans une chaîne d’exploitation, elle peut aider un attaquant disposant déjà de capacités de lecture et d’écriture à contourner cette protection et à poursuivre la compromission.
Apple avait publié des correctifs dans iOS et iPadOS 16.7.8 et 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 et Safari 17.5. La faille avait été démontrée comme zero-day lors de Pwn2Own Vancouver en mars 2024.
Comment les victimes sont ciblées
Les attaquants utilisent plusieurs portes d’entrée : des sites légitimes compromis, de faux sites imitant des services populaires et une attaque de chaîne d’approvisionnement visant Plerdy SEO Tracker. Un JavaScript malveillant analyse l’appareil du visiteur avant de déclencher la chaîne adaptée.
L’objectif final est de voler des informations du navigateur et de l’appareil, notamment des cookies susceptibles de faciliter le détournement de sessions.
Une campagne possiblement liée à APT29
Les chercheurs de Sekoia associent l’activité, avec un niveau de confiance modéré à élevé, au groupe APT29, également connu sous les noms Cozy Bear et Midnight Blizzard. Cette attribution reste une évaluation de renseignement fondée sur les éléments techniques disponibles.
Que doivent faire les utilisateurs ?
- installer toutes les mises à jour Apple et Safari disponibles ;
- mettre également à jour les autres navigateurs ;
- éviter les faux sites de téléchargement ;
- révoquer les sessions en cas de comportement suspect ;
- protéger les comptes importants avec une MFA résistante au phishing ;
- surveiller les extensions et scripts tiers utilisés par les sites.
Cette campagne rappelle qu’un correctif ancien reste indispensable : les attaquants continuent de cibler les appareils qui n’ont jamais été mis à jour.
