Kaspersky révèle une « fonctionnalité » du matériel précédemment inconnue exploitée dans les attaques de l’iPhone

L’équipe de recherche et d’analyse globale (GReAT) de Kaspersky a exposé une « fonctionnalité » inconnue auparavant sur les iPhones d’Apple qui a permis aux logiciels malveillants de contourner la protection basée sur la mémoire matérielle. Appelée CVE-2023-38606, cette vulnérabilité a été corrigée en juillet 2023, et a affecté les iPhones exécutant les versions iOS jusqu’à 16.6, selon les informations fournies cette semaine par la société de cybersécurité. Kaspersky estime que cette fonctionnalité matérielle (détails techniques ici) était peut-être destinée aux tests ou au débogage. Ouais, espérons-le. En tout cas, le gang GReAT n’a pas pu trouver de documentation publique à ce sujet, ce qui a rendu la détection et l’analyse de cette faille assez difficiles pour l’équipe à l’aide de ses outils habituels lorsque les malfaiteurs sont venus l’exploiter. Selon Kaspersky, « les attaquants ont utilisé cette fonctionnalité matérielle pour contourner les protections basées sur le noyau matériel et manipuler le contenu des zones de mémoire protégées ». Les chercheurs ont dû effectuer une ingénierie inversée du périphérique pour retracer la vulnérabilité exploitée. Une attention particulière a été portée aux adresses MMIO (Memory-Mapped IO) utilisées pour la communication entre le CPU et d’autres périphériques. Le problème était que les attaquants utilisaient des adresses MMIO inconnues pour contourner la protection basée sur le noyau matériel. Par conséquent, l’équipe a dû examiner le matériel, le micrologiciel et les images du noyau pour comprendre ce qui se passait.