Les chaînes d’exploitation capables de prendre le contrôle d’un iPhone depuis une simple page web ne courent pas les rues, et leur tarif se négocie habituellement en millions auprès d’une clientèle très particulière. DarkSword appartenait à ce club fermé jusqu’à ce que son code se retrouve dans la nature. L’outil poursuit sa carrière entre des mains qui n’ont rien à voir avec celles de ses commanditaires d’origine, et cette fois à une échelle industrielle.
De fausses consoles Amazon et de faux écrans Apple pour appâter
Le procédé tient en quelques lignes de JavaScript caché non pas dans une application mais sur une page web. Un internaute atterrit sur une page qui imite une console Amazon Web Services, un formulaire de connexion Apple ID ou un site thématique anodin. Un cadre invisible se charge en arrière-plan, identifie la version d’iOS de l’appareil, puis sélectionne le code d’attaque correspondant. La victime, elle, n’a rien à cliquer (c’est précisément ce qui rend la méthode intéressante pour l’attaquant).
Quand la chaîne aboutit, elle installe GHOSTBLADE, un voleur de données qui ratisse large : trousseau de mots de passe, contenus iCloud, identifiants Wi-Fi enregistrés, fichiers stockés sur l’appareil. Les journaux d’activité sont effacés avant que le programme ne se retire, histoire de compliquer le travail d’un éventuel analyste. Au 30 juillet, on dénombrait 27 serveurs et 180 pages web portant cette empreinte, un décompte qui bouge d’une semaine à l’autre puisque les opérateurs changent d’hébergeur en quelques jours.
L’infrastructure se concentre à Hong Kong, avec des prolongements au Japon, aux États-Unis et en Europe, où un répertoire mal protégé a même laissé traîner l’outillage des opérateurs. Les interfaces d’administration affichent des libellés en chinois, ce qui situe vaguement le groupe sans permettre de l’identifier. Ce ne sont en tout cas pas les mêmes que ceux qui visaient l’an dernier des cibles ukrainiennes, saoudiennes ou turques : ceux-là disposaient d’un accès réservé, les nouveaux ont simplement ramassé ce qui traînait.
Les seuls iPhone menacés sont ceux que personne n’a mis à jour
DarkSword ne fonctionne que sur iOS 18.4 à 18.7, et les six vulnérabilités qu’il enchaîne ont été corrigées au printemps. Apple avait même poussé le correctif 18.7.7 début avril jusqu’à des iPhone et des iPad pourtant éligibles à iOS 26, ce qui ne fait pas franchement partie de ses habitudes. La firme a donc traité le problème avant que l’outil ne se démocratise.
Le kit ressemble aujourd’hui à un passe-partout dont le fabricant aurait changé toutes les serrures il y a quatre mois. Il reste redoutablement efficace sur les portes qu’on n’a pas touchées, et c’est là que se joue toute l’affaire. Un iPhone laissé sans mise à jour depuis l’automne 2025 reste grand ouvert, exactement comme celui d’un utilisateur qui repousse la notification de rappel depuis des mois (nous connaissons tous quelqu’un).
Les avis de sécurité publiés par les autorités françaises listent depuis un an ces versions vulnérables, sans que cela suffise à faire bouger le parc installé. C’est la limite de tout l’exercice : le correctif existe, encore faut-il que quelqu’un l’installe. Une chaîne d’exploitation qui vaut des millions ne sert à rien contre un appareil à jour, mais elle retrouve toute sa valeur dès qu’un parc entier prend du retard.
La marche à suivre est aussi banale qu’efficace : installer la dernière version disponible. Si l’appareil ne peut plus aller au-delà d’iOS 18, le mode Isolement neutralise une bonne partie des mécanismes utilisés par ce genre d’attaque. Et se méfier des pages de connexion Apple qui surgissent sans qu’on les ait demandées, parce que ces opérateurs se contentent parfois de récolter le mot de passe à l’ancienne, sans déranger la moindre faille.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Censys
