Un chercheur de la société suédoise de télécommunications et de cybersécurité Enea a découvert une tactique jusqu'alors inconnue que le groupe israélien NSO a mise à disposition pour être utilisée dans des campagnes visant à supprimer son célèbre logiciel espion mobile Pegasus sur les appareils mobiles appartenant à des individus ciblés dans le monde entier.
Le chercheur a découvert cette technique en examinant une entrée intitulée « MMS Fingerprint » sur un contrat entre un revendeur du groupe NSO et le régulateur des télécommunications du Ghana.
Le contrat faisait partie de documents judiciaires accessibles au public associés à un procès de 2019 impliquant WhatsApp et le groupe NSO, concernant l'exploitation par ce dernier d'une faille de WhatsApp pour déployer Pegasus sur des appareils appartenant à des journalistes, militants des droits de l'homme, avocats et autres dans le monde.
Profilage d'appareil sans clic pour Pegasus
Le contrat décrivait MMS Fingerprint comme quelque chose qu'un client de NSO pouvait utiliser pour obtenir des détails sur un appareil BlackBerry, Android ou iOS cible et sa version du système d'exploitation, simplement en lui envoyant un message de service de messagerie multimédia (MMS).
"Aucune interaction, engagement ou ouverture de message de l'utilisateur n'est requis pour recevoir l'empreinte digitale de l'appareil", indique le contrat.
Dans un article de blog la semaine dernière, Cathal McDaid, chercheur à l'Enea, a déclaré qu'il avait décidé d'enquêter sur cette référence car « empreinte digitale MMS » n'était pas un terme connu dans l'industrie.
« Même si nous devons toujours considérer que NSO Group est peut-être simplement en train d'« inventer » ou d'exagérer les capacités qu'il prétend posséder (d'après notre expérience, les sociétés de surveillance promettent régulièrement leurs capacités), le fait qu'il s'agisse d'un contrat plutôt que d'une publicité suggère que c'était plus susceptible d'être réel », a écrit McDaid.
Prise d'empreintes digitales en raison d'un problème avec le flux MMS
L'enquête de McDaid l'a rapidement amené à conclure que la technique mentionnée dans le contrat du groupe NSO était probablement liée au flux MMS lui-même plutôt qu'à des vulnérabilités spécifiques au système d'exploitation.
Le flux commence généralement lorsque l'appareil d'un expéditeur soumet initialement un message MMS au centre MMS de l'expéditeur (MMSC). Le MMSC de l'expéditeur transmet ensuite ce message au MMSC du destinataire, qui informe ensuite l'appareil destinataire du message MMS en attente. L'appareil destinataire récupère ensuite le message de son MMSC, a écrit McDaid.
Étant donné que les développeurs de MMS l'ont introduit à une époque où tous les appareils mobiles n'étaient pas compatibles avec le service, ils ont décidé d'utiliser un type spécial de SMS (appelé « WSP Push ») pour informer les appareils destinataires des messages MMS en attente dans le système. MMSC du destinataire. La demande de récupération ultérieure n'est pas vraiment un MMS mais une requête HHTP GET envoyée à une URL de contenu répertoriée dans un champ d'emplacement de contenu dans la notification, a écrit le chercheur.
"Ce qui est intéressant ici, c'est que dans ce HTTP GET, les informations sur l'appareil utilisateur sont incluses", a-t-il écrit. McDaid a conclu que c'était probablement ainsi que le groupe NSO avait obtenu les informations sur les appareils ciblés.
McDaid a testé sa théorie en utilisant des exemples de cartes SIM provenant d'un opérateur de télécommunications d'Europe occidentale et, après quelques essais et erreurs, a pu obtenir des informations sur l'agent utilisateur et des informations d'en-tête HTTP sur les appareils de test, qui décrivaient les capacités de l'appareil. Il a conclu que les acteurs du groupe NSO pourraient utiliser ces informations pour exploiter des vulnérabilités spécifiques dans les systèmes d'exploitation mobiles, ou pour adapter Pegasus et d'autres charges utiles malveillantes aux appareils cibles.
"Ou, il pourrait être utilisé pour aider à élaborer des campagnes de phishing contre les humains utilisant l'appareil plus efficacement", a-t-il noté.
McDaid a déclaré que ses enquêtes au cours des derniers mois n'avaient jusqu'à présent révélé aucune preuve que quiconque exploitait cette technique dans la nature.
- Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
- PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
- PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
- PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
- PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
- La source: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal
