Apple a mis à jour en urgence le logiciel de ses appareils mobiles pour contrer une cyber-menace sophistiquée: Pegasus, un logiciel d'espionnage conçu par une société israélienne et repéré quand il s'est attaqué à l'iPhone d'un dissident émirati. Selon une notice publiée jeudi sur le site internet du groupe américain, la mise à jour (iOS 9.3.5) s'applique aux iPhone et iPad commercialisés depuis 2011, ainsi qu'à des lecteurs musicaux iPod sortis l'année suivante. Elle répare trois failles de sécurité dans le système d'exploitation iOS, permettant à des pirates d'accéder à la mémoire ou d'exécuter des logiciels malveillants sur l'appareil. "Nous avons été averti de cette vulnérabilité et l'avons immédiatement réparée", a indiqué un porte-parole d'Apple. Dans un billet séparé, le Citizen Lab de l'université canadienne de Toronto, spécialisé dans la censure informatique, et la société de cybersécurité californienne Lookout expliquent avoir coopéré avec Apple après avoir découvert un mécanisme d'attaque sophistiqué utilisant ces trois failles (regroupées sous le nom de "Trident") et frappant "des cibles à haute valeur", comme par exemple des dissidents politiques. Il s'agit selon eux d'un logiciel d'espionnage baptisé Pegasus et créé par la société israélienne NSO Group. Il fonctionne au départ comme une attaque par hameçonnage (phishing): il envoie à l'utilisateur un texto renvoyant sur un site internet semblant légitime mais conçu pour contaminer discrètement l'appareil avec un système d'espionnage. Le blog décrit un logiciel hautement personnalisable en fonction du pays et des fonctionnalités réclamées par celui qui l'achète: il peut accéder à la caméra, au micro ou à la géolocalisation de l'appareil, aux contenus de messages, d'appels et de toute une série d'applications de communication dont Gmail, Facebook, Skype, WhatsApp, Viber, FaceTime, Line, mail.ru, WeChat... Espionnage politique et économique C'est un militant des droits de l'Homme émirati, Ahmed Mansoor, qui a donné l'alerte. Déjà visé par plusieurs cyber-attaques dans le passé, il a jugé suspicieux des textos reçus courant août qui lui promettaient des "secrets" sur des détenus torturés dans les prisons des Emirats arabes unis. Au lieu de cliquer sur les liens internet des textos, il a contacté les chercheurs du Citizen Lab, qui ont remonté jusqu'à NSO. D'après les médias locaux, cette société spécialisée dans la "cyber-guerre" et basée au nord de Tel-Aviv, dans "la Silicon Valley israélienne", a été fondée en 2010 et a passé ces dernières années des contrats notamment avec les gouvernements mexicains et panaméens. Mais c'est semble-t-il la première fois qu'un de ses logiciels est repéré. Lorsqu'un fonds américain (Francisco Partners) avait pris en 2014 une participation majoritaire, il avait fallu l'accord du ministère israélien de la Défense en raison des technologies "sensibles" de NSO, dont au moins trois responsables auraient effectué leur service militaire au sein de l'unité 8.200, l'équivalent israélien de l'agence de renseignements américaine NSA. Pour Mike Murray, responsable de la recherche sur la sécurité chez Lookout, la découverte de Pegasus est une rare opportunité d'exposer l'activité des "fournisseurs louches de cyber-armes". Le smartphone est une cible de valeur", et les gens capables de s'immiscer dedans et n'ayant pas un code moral trop strict "se sont rendu compte de l'opportunité de faire des affaires", a-t-il indiqué. Des factures en ligne montrent que les pirates peuvent encaisser des dizaines de milliers de dollars pour chaque cible touchée avec un de leur logiciel. S'ils n'ont pas prouvé de lien entre l'attaque contre Ahmed Mansoor et un gouvernement spécifique, les chercheurs de Toronto évoquent des indices pointant vers les Emirats arabes unis. Les autorités émiraties n'ont pas commenté. Citizen Lab dit également avoir des preuves que des pirates soutenus par des gouvernements ont utilisé les produits de NSO pour espionner un journaliste mexicain qui écrivait sur de la corruption au niveau du chef de l'Etat au Mexique, ainsi que contre une ou plusieurs cibles non identifiée(s) au Kenya.
