Analyse de la sécurité de Safari sur iOS
L’échantillon de Safari analysé cible les versions iOS 18.4 à 18.6.2 en exploitant des failles précédemment corrigées, tandis que son efficacité sur iOS 26.5 reste à vérifier. Une attaque sur Safari sur iPhone, à l’origine des récents avertissements de sécurité, n’a pas encore été liée à un vol de crypto-monnaies confirmé dans l’enquête de SlowMist.
Avertissements pour les utilisateurs d’iPhone
Plusieurs rapports ont émergé cette semaine, exhortant les utilisateurs d’iPhone à mettre à jour immédiatement leurs appareils et avertissant que des pages Safari malveillantes pourraient exposer des clés privées de crypto-monnaies et des phrases de récupération, certains citant une plage allant d’iOS 13 à iOS 26.5.
SlowMist a déclaré à Cointelegraph qu’elle n’avait pas confirmé de manière indépendante une victime compromise par l’échantillon d’attaque Safari spécifique qu’elle a analysé, tandis que ses preuves techniques les plus solides couvrent iOS 18.4 à 18.6.2.
La société a indiqué que la plage « iOS 13 à 26.5 » devait être considérée comme préliminaire. « Nous préférons donc éviter d’affirmer qu’iOS 26.5 est affecté jusqu’à ce qu’il y ait des preuves techniques reproductibles, » a-t-elle déclaré.
Techniques d’attaque et vulnérabilités
L’attaque Safari réutilise des techniques d’une chaîne d’exploitation nommée DarkSword, précédemment divulguée, et est distincte de FomoPeek, une autre enquête de SlowMist impliquant des composants malveillants intégrés dans une application de l’App Store. Le Google Threat Intelligence Group (GTIG) a divulgué DarkSword en mars, le décrivant comme une chaîne d’exploitation iOS utilisée par plusieurs acteurs malveillants depuis au moins novembre 2025.
SlowMist a déclaré que MistEye, une équipe de renseignement sur les menaces dirigée par son directeur de la sécurité de l’information, 23pds, avait d’abord identifié l’activité pertinente début mai. SlowMist a publié son analyse de la campagne Safari WYINCC le 4 septembre, identifiant une page web malveillante faisant la promotion d’un service de serveur privé virtuel gratuit.
SlowMist a précisé que la page chargeait le code d’exploitation lorsqu’elle était ouverte sur un iPhone utilisant Safari, sans nécessiter nécessairement un autre clic de l’utilisateur. Les vulnérabilités utilisées dans la chaîne avaient déjà été divulguées et corrigées par Apple, a déclaré SlowMist.
Risques et recommandations
La société a découvert que l’échantillon Safari malveillant qu’elle a analysé incluait un composant conçu pour accéder au Trousseau d’Apple et récupérer et déchiffrer les informations stockées. Le code pouvait également accéder aux fichiers d’application et aux données d’application partagées, exposant potentiellement des informations stockées par des applications de portefeuille crypto.
« L’échantillon démontre la capacité de collecte et les cibles visées ; il ne prouve pas à lui seul une extraction réussie de chaque portefeuille ciblé, » a déclaré SlowMist.
Lié : Les régulateurs de l’UE avertissent que les ordinateurs quantiques pourraient déverrouiller les crypto-monnaies. « Nous n’avons pas exécuté la chaîne complète sur un véritable appareil victime, donc nous ne pouvons pas identifier une victime spécifique dont nous avons confirmé de manière indépendante que l’appareil avait été compromis avec succès par cet échantillon exact, » a ajouté SlowMist.
Malgré les limites des preuves disponibles, SlowMist a conseillé aux utilisateurs d’iPhone d’installer les dernières mises à jour de sécurité iOS disponibles pour leurs appareils et d’éviter les liens suspects. Pour les utilisateurs qui ne peuvent pas mettre à jour immédiatement ou qui font face à des risques accrus, SlowMist a recommandé de considérer le mode de verrouillage d’Apple comme une défense supplémentaire, tout en avertissant qu’elle n’a pas confirmé que cette fonctionnalité bloque complètement cette attaque Safari spécifique.
SlowMist a également exhorté les utilisateurs qui croient qu’une clé de portefeuille ou une phrase de récupération pourrait avoir été exposée à déplacer leurs actifs vers un portefeuille nouvellement généré sur un appareil propre, plutôt que de continuer à utiliser des identifiants potentiellement compromis.
Magazine : L’Asie domine l’indice d’adoption des crypto-monnaies, le piratage de 352 millions de dollars de Bitget : Asia Express. Obtenez plus de Cointelegraph sur Google et ajoutez Cointelegraph comme source préférée pour vos recherches Google.
