Kaspersky dévoile une « fonctionnalité » matérielle inconnue auparavant exploitée dans les attaques iPhone

L’équipe de recherche et d’analyse globale de Kaspersky (GReAT) a révélé une « fonctionnalité » inconnue auparavant dans les iPhones d’Apple qui a permis aux logiciels malveillants de contourner la protection basée sur la mémoire matérielle. Adressé sous le nom de CVE-2023-38606, qui a été corrigé en juillet 2023, selon Kaspersky cette semaine, il a affecté les iPhones fonctionnant sous les versions iOS jusqu’à 16.6. Kaspersky estime que cette fonctionnalité matérielle (détails techniques ici) était peut-être destinée aux tests ou au débogage. Ouais, espérons-le. Certainement, le gang GReAT ne pouvait pas trouver de documentation publique à ce sujet, ce qui a rendu la détection et l’analyse de la faille difficiles à détecter et à analyser en utilisant les outils habituels du groupe lorsque les malfaiteurs sont venus l’exploiter. Selon Kaspersky, « les attaquants ont utilisé cette fonctionnalité matérielle pour contourner les protections de sécurité basées sur le matériel et manipuler le contenu des zones de mémoire protégées ». Les chercheurs ont dû effectuer une ingénierie inverse du périphérique pour retracer la vulnérabilité exploitée. Une attention particulière a été portée aux adresses MMIO (Memory-Mapped IO) utilisées pour la communication entre le CPU et d’autres périphériques. Le problème était que les attaquants utilisaient des adresses MMIO inconnues pour contourner la protection basée sur le noyau matériel. Par conséquent, l’équipe a dû fouiller dans le matériel, le micrologiciel et les images du noyau pour comprendre ce qui se passait.