Darcula, c'est le nom d'une nouvelle plateforme de type "Phishing-as-a-Service" (PhaaS) qui permet d'usurper l'identité de différentes marques et organisations à partir de 20 000 domaines dans le but de voler les identifiants des utilisateurs sur mobile, aussi bien sur Android que sur iPhone. Faisons le point sur cette menace.

Alors que la plateforme Tycoon 2FA cible les utilisateurs de Microsoft 365 et Gmail sur ordinateur, Darcula quant à lui s'intéresse plutôt aux utilisateurs de smartphones Android et d'iPhone. Pour cela, des messages malveillants sont envoyés aux utilisateurs directement sur Google Messages (via le protocole RCS) et iMessage. Nous notons l'abandon du SMS traditionnel au profit du protocole RCS et d'iMessage, ce qui permet aux cybercriminels d'envoyer des messages protégés par le chiffrement de bout en bout, contrairement aux SMS. Ainsi, il n'est pas possible d'analyser le contenu du message pour le bloquer avant qu'il n'atteigne l'appareil de l'utilisateur.

Darcula : 200 modèles prêts à l'emploi

Le kit Darcula peut être utilisé par les cybercriminels pour usurper l'identité de services de livraison, mais aussi de services financiers, gouvernementaux, fiscaux, de sociétés de télécommunications, ou encore des compagnies aériennes. Au total, les abonnés ont accès à 200 modèles de messages et de pages malveillantes pour usurper l'identité des marques. Le contenu s'adapte également en fonction de la langue locale de l'utilisateur pris pour cible.

"La plateforme Darcula prétend prendre en charge environ 200 modèles d'hameçonnage, couvrant un large éventail de marques basées dans plus de 100 pays différents.", peut-on lire dans un rapport mis en ligne par Netcraft.

Les cybercriminels n'ont qu'à choisir une marque et un script de configuration s'occupe d'effectuer la configuration dans un conteneur Docker. D'ailleurs, la plateforme Darcula utilise le registre de conteneurs Harbor pour héberger l'image Docker.

L'utilisation du protocole RCS et de iMessage

L'utilisation du protocole RCS et d'iMessage pour émettre les messages malveillants obligent les pirates à contourner certaines restrictions. Il y a notamment des restrictions pour l'envoi en masse de messages. Du côté d'Apple, c'est interdit, ce qui conduit les cybercriminels à utiliser plusieurs comptes Apple ID différents et des fermes d'iPhone pour envoyer les messages. Chez Google, une restriction a été récemment mise en place pour empêcher les appareils rootés d'envoyer ou de recevoir des messages RCS.

En complément, iMessage intègre une protection un peu plus contraignante pour les cybercriminels : l'utilisateur peut cliquer sur un lien présent dans un iMessage uniquement s'il a déjà communiqué avec l'expéditeur du message en question. Pour cela, le message indique clairement à l'utilisateur qu'il doit répondre au message par un "Y" ou un "1" afin de pouvoir accéder au lien.

Darcula, une plateforme en pleine croissance

"Au total, Netcraft a détecté plus de 20 000 domaines liés à la cybercriminalité, répartis sur 11 000 adresses IP, qui ciblent plus de 100 marques.". De nombreux domaines en ".com" et ".top" sont utilisés par les cybercriminels et un tiers des hôtes sont protégés par les services de Cloudflare.

Par ailleurs, le document de Netcraft précise également 120 domaines supplémentaires sont créés chaque jour dans le but d'héberger des pages de phishing. Preuve que cette plateforme de PhaaS est en pleine croissance. À chaque fois, l'objectif des pirates est le même : voler les données confidentielles et/ou bancaires des utilisateurs, en fonction du template utilisé.

Même si nous tous plus ou moins habitués à recevoir ces messages suspects, restons vigilants...

Source

The post Phishing : Darcula cible Android et l’iPhone par l’intermédiaire de Google Messages et iMessage first appeared on IT-Connect.

Apple a mis en ligne de nouvelles mises à jour de sécurité à destination des propriétaires d'iPhone et d'iPad dans le but de corriger deux failles de sécurité zero-day déjà exploitées au sein d'attaques : CVE-2024-23225 et CVE-2024-23296.

Il y a quelques heures, Apple a publié iOS 17.4 pour les iPhone et iPadOS 17.4 pour les iPad. Ces mises à jour apportent différentes nouveautés, mais elles corrigent aussi plusieurs vulnérabilités, dont deux failles de sécurité zero-day. À ce sujet, la firme de Cupertino précise ce qui suit dans son bulletin de sécurité : "Apple a pris connaissance d'un rapport selon lequel ce problème pourrait avoir été exploité."

Associées aux références CVE-2024-23225 et CVE-2024-23296, ces vulnérabilités sont présentes dans le Kernel et dans RTKit, ce qui impacte directement le noyau du système d'exploitation. En l'exploitant, un attaquant peut contourner les protections de la mémoire du noyau.

Voici les appareils impactés par ces deux vulnérabilités, et qui bénéficient d'une mise à jour :

• iPhone XS et versions ultérieures,
• iPad Pro 12,9 pouces 2e génération et versions ultérieures,
• iPad Pro 10,5 pouces,
• iPad Pro 11 pouces 1re génération et versions ultérieures,
• iPad Air 3e génération et versions ultérieures,
• iPad 6e génération et versions ultérieures,
• iPad mini 5e génération et versions ultérieures.

Sachez que si vous ne pouvez pas installer iOS 17.4 ou iPadOS 17.4, vous pouvez tout de même bénéficier d'un correctif de sécurité pour la CVE-2024-23225. En effet, Apple a également publié des versions pour ses appareils plus anciens : iOS 16.7.6 et iPadOS 16.7.6.

Pour le moment, et dans le but de préserver ses utilisateurs, Apple n'a pas dévoilé de détails techniques sur ces vulnérabilités.

Pour les utilisateurs Européens, sachez qu'iOS 17.4 et iPadOS 17.4 intègrent des modifications pour que ces systèmes soient en conformité avec le Digital Markets Act (DMA). Par exemple, il y a désormais une prise en charge des magasins d'applications tiers, et la possibilité de choisir son navigateur Web par défaut afin de ne pas imposer Safari.

Source

The post iPhone : la mise à jour iOS 17.4 corrige deux failles de sécurité zero-day déjà exploitées ! first appeared on IT-Connect.