Transmis à des experts en sécurité, il a aidé à découvrir un outil d'espionnage très discret développé par la firme israélienne NSO Group à destination des gouvernements et agences de renseignement et reposant sur trois vulnérabilités non documentées au sein de la plate-forme iOS.
On retrouve là l'obscure activité d'exploitation de failles dans les systèmes d'exploitation qui, au lieu d'être signalées et refermées, sont utilisées à des fins commerciales, qui avait déjà été mis en lumière dans l'affaire de l'iPhone de San Bernardino.
Pour déverrouiller cet iPhone 5C sans l'aide d'Apple, le FBI a fait appel à une société extérieure qui lui a fourni une moyen d'accès à l'appareil capable de contourner les défenses d'iOS. L'agence gouvernementale est restée très discrète sur la méthode employée mais aussi sur le prix qu'elle a dû payer pour accéder à ce qui a sans doute correspondu à l'exploitation d'une faille inconnue.
La méthode d'infiltration fournie par NSO Group repose sur un outil Pegasus (ou Pégase en français) qui exploite trois vulnérabilités dans iOS et permet un jailbreak totalement silencieux de l'iPhone visé afin de pouvoir installer des logiciels non validés par Apple.
Il donne alors la possibilité de récupérer SMS et emails, journaux d'appels et mots de passe sur l'appareil mobile fragilisé. La grande force du dispositif est de rester très discret dans son fonctionnement, avec des optimisations (sur la consommation d'énergie ou le transfert de données, par exemple) pour ne pas attirer l'attention et se fondre dans l'utilisation de l'iPhone, sans laisser de traces.
Le groupe de Cupertino a donc aussitôt réagi en proposant iOS 9.3.5 pour reboucher les trois vulnérabilités 0-day quelques jours seulement après avoir déjà rebouché une autre faille via la mise à jour iOS 9.3.4 de début août.
En ouvrant le kernel de iOS 10 aux regards des experts en sécurité et en proposant bientôt un programme bug bounty avec des récompenses de plusieurs dizaines de milliers de dollars, Apple semble vouloir désormais mettre fin à sa culture du secret et s'appuyer sur les expertises extérieures pour débusquer les fragilités de sa plate-forme.
Il reste à voir combien d'autres vulnérabilités pas encore découvertes font la joie des agences de renseignement pour un outil neutralisé...
