Citizen Lab a surpris les piratages iPhone sans clic de NSO en surveillant les téléphones à risque

En 2020, le logiciel espion Pegasus du groupe NSO pouvait prendre le contrôle d'un iPhone sans aucun clic, et les clients de NSO le dirigeaient contre des journalistes. Le correspondant du New York Times Ben Hubbard, qui couvrait l'Arabie saoudite et écrivait un livre sur le prince héritier Mohammed ben Salmane, a été ciblé de juin 2018 à juin 2021. Les plaintes adressées à NSO et les révélations publiques de Hubbard et de Citizen Lab n'y ont pas mis fin : son téléphone a de nouveau été piraté avec un haut degré de confiance en juillet 2020 et en juin 2021.

La riposte de Citizen Lab a consisté à surveiller les téléphones que les attaquants visaient réellement. En décembre 2019, le laboratoire a commencé à faire tourner des VPN sur les appareils d'utilisateurs potentiellement ciblés, et il a analysé les sauvegardes et les journaux à la recherche d'artefacts, car même un exploit sans clic doit passer par le réseau et toucher le système de fichiers. En septembre 2021, le laboratoire a capturé en conditions réelles l'exploit FORCEDENTRY de NSO, récupéré à partir de la sauvegarde de l'iPhone d'un militant saoudien, l'a rétro-ingénieré et l'a divulgué à Apple.

La même méthode a transformé les infections silencieuses de Hubbard en un dossier public daté : des lacunes dans son fichier DataUsage.sqlite, un processus nommé « bh », des pièces jointes iMessage supprimées, et le même compte de livraison utilisé contre le militant saoudien ont permis à Citizen Lab de conclure avec un haut degré de confiance que son iPhone avait été piraté le 12 juillet 2020 et le 13 juin 2021. Apple a publié un correctif pour FORCEDENTRY dans iOS 14.8 six jours après la divulgation. Le laboratoire a gardé secrètes certaines signatures, le HIPPOCRENE FACTOR, afin de préserver sa visibilité sur le logiciel espion de NSO.

Équiper les téléphones à risque de VPN pour surprendre le logiciel espion sans clic en pleine action, puis le divulguer au fournisseur

Une attaque sans clic doit tout de même atteindre le téléphone par le réseau et toucher son système de fichiers ; un VPN et des sauvegardes révèlent donc ce que la victime ne peut pas voir : l'attaque arrive sous forme de preuve datée.

Les téléphones appartenaient à des personnes que les clients de NSO visaient réellement ; Citizen Lab a donc intercepté de véritables attaques opérationnelles et a pu relier l'outil à NSO avec un haut degré de confiance.

La divulgation de l'exploit capturé a donné à Apple ce dont elle avait besoin : FORCEDENTRY a été corrigé dans iOS 14.8 six jours plus tard, un correctif qu'aucune plainte, aucun procès ni aucun rapport public n'avait produit.

Le fait de ne pas publier certaines signatures de détection, comme le HIPPOCRENE FACTOR, a permis au laboratoire de continuer à repérer des infections après avoir rendu publiques le reste de ses méthodes.

Équiper la population qu'un attaquant cible : un VPN associé à l'analyse des sauvegardes transforme une attaque sans clic invisible en preuve datée et attribuable, et sa divulgation au fournisseur permet de faire publier le correctif.

Apple a publié iOS 14.8 six jours après la divulgation de Citizen Lab en septembre 2021, fermant FORCEDENTRY. Citizen Lab et Amnesty ont ensuite vérifié des infections similaires de membres du personnel d'Al Jazeera, de journalistes en France et en Hongrie, et de rédacteurs du média indien The Wire, et la fuite du Pegasus Project a montré à quel point les clients de NSO abusaient de l'outil. Le cas de Hubbard a montré les limites de la divulgation : il a de nouveau été infecté en 2021 après avoir rendu l'affaire publique au début de 2020, et Citizen Lab a conclu que NSO n'avait pris aucune mesure efficace pour empêcher le ciblage d'un journaliste américain de premier plan.