Vault 7 : la CIA infecte le Mac avec un tournevis sonique

Mickaël Bazoge |

La CIA a un « tournevis sonique » qui lui permet d’installer des logiciels espions dans le firmware des Mac, selon les dernières révélations de WikiLeaks. Ce « Sonic Screwdriver » (l’outil à tout faire du Dr Who) prend la forme d’une clé USB qui, une fois branchée sur le Mac de la victime, déploie son code malveillant lors du démarrage de la machine.

[MàJ le 24/03] : Les dernières informations de Wikileaks sont périmées, affirme Apple

Il est donc impératif d’avoir un accès physique au Mac pour l’infecter. Mais une fois que c’est fait, il est impossible de se débarrasser du mécanisme de surveillance de ce tournevis, y compris quand l’ordinateur est protégé par un mot de passe… et même après réinstallation de macOS.

Cette attaque, mise au point par les services de l’Embedded Development Branch de la CIA, se niche dans une version modifiée du firmware de l’adaptateur Thunderbolt vers Ethernet. L’objectif, bien sûr, est d’obtenir un maximum d’informations provenant du Mac infecté sans que l’utilisateur ne se doute de rien. Ce débat logiciel semble remonter à quelques années où plusieurs failles de ce type avaient été repérées puis corrigées.

Avec DarkSeaSkies, la CIA a exploité des failles lui permettant d’installer les malwares DarkMatter (EFI), SeaPea (kernel) et NightSkies (données de l’utilisateur). Ces programmes existent depuis au moins 2010 et l’agence les met à jour régulièrement. Le Mac n’est pas la seule victime du jour : iOS fait aussi partie du lot, avec la révélation de plusieurs vulnérabilités utilisées par la CIA comme NightSkies qui a été mis au point dès 2008, un an seulement après la sortie de l’iPhone ! L’installation de ce logiciel espion doit toutefois se réaliser durant la production du smartphone.

Ces informations font partie de « Dark Matter », la nouvelle fournée de documents mis en ligne par WikiLeaks dans le cadre du feu roulant de révélations issues de « Vault 7 », un « coffre » contenant des milliers de documents confidentiels de la CIA. La première livraison, baptisée « Year Zero », date de début mars. Il y était déjà question d’Apple (lire : Vault 7 : WikiLeaks dévoile que la CIA a accès à nos iPhone et nos Mac), qui avait affirmé quelques heures plus tard que la plupart des failles exploitées par la CIA avaient été bouchées.

avatar Giloup92 | 

Avoir un accès physique à l'appareil facilite quand même bien les choses.

avatar vrts | 

thanks Captain Obvious

avatar occam | 

Présumablement, c'est là qu'entrent en jeu les plombiers.

avatar Abd Salam | 

@occam

Mon dieu... la transcription de "presumably "... directement.

avatar occam | 

@Abd Salam

Réponse exacte ! Le candidat engrange 100 points !
Il gagne autant de moissonneuses-batteuses qu'il peut emporter.

(En fait, non. L'adverbe « présumablement » est attesté en français depuis au moins 1836, et même à l'époque, il ne s'agissait pas d'une transcription. Mais si cela vous fait plaisir, nous ne chipoterons pas sur les détails, la vérification des faits n'étant pas votre point fort.)

avatar scribe | 

Le TLF était remonté jusqu'à 1836, mais l'adverbe Présumablement est en fait — dans l'état actuel des connaissances lexicographiques — attesté depuis 1790… et c'était à l'Assemblée Nationale (séance du 28 mars).

avatar occam | 

@scribe

Excellent, merci !

Votre notice m'a poussé à parcourir les archives parlementaires de l'Assemblée Nationale de 1790, disponibles en ligne.
Je connaissais le procès-verbal de quelques séances historiques. Mais à relire les compte-rendus de séances en apparence anodines, on ne peut être qu'ébahi par la qualité, la quantité et la rapidité du travail abattu par cette Assemblée (qui siégeait en continu, samedi et dimanche compris).

avatar C1rc3@0rc | 

C'est que le travail ne manquait pas a l'epoque: les aristocrates a pourchasser, le clergé a purger, les biens a confisquer, le cadre legal a recreer avec des partis aux ideologies antagonistes,...

Ceci dit présumablement n'existe pas aujourd'hui et le plus proche est le "présumément" (Québec).

Pour en revenir a l'excellant article et arrêter les derives lexicographiques, l'on constate plusieurs choses:

- les outils en question proviennent de CIA, la NSA, le GCHQ (la NSA anglaise) et des vendeurs privés, sur la base de failles non connues (0days).
- la CIA pirate depuis longtemps et de manière élaborée les appareils d'Apple
- les appareils Apple ont autant de failles que les autres
- la CIA developpe (ou achete) ces exploitations tres rapidement (quasi a la sortie des machines...)
- la CIA met a jour ces outils de piratages
- la CIA ne communicant pas les failles exploités Apple ne peut que compter sur la chance ou un travail de bug bounty poussé pour les decouvrir et les combler (ou mieux: bien concevoir et auditer regulierement ).
- l'accés physique nécessité par certains de ces piratage n'est nullement rassurant

Autre info trés importante: ces outils ne sont jamais resté sous le controle de la CIA et des milliers de personnes ( deja les 5000 accredité par la CIA...) y ont eu accés. Et aujourd'hui on sait qu'au moins 500 outils se baladent dans la nature.

Et surtout le niveau de toutes ces exploitations démontre que la cible de cet espionnage (recolte de données mais aussi falsification des données presentes ou installation de données compromettantes) a pour 1er cadre l'espionnage économique, technologique, politique et social bien avant de commencer a parler de lutte contre le terrorisme!

Conclusion la CIA (et les autres agences) met en danger en toute conscience le citoyen, qu'il soit américain ou autre.

avatar occam | 

@C1rc3@0rc

Votre conclusion, à laquelle je souscris, rejoint celle de Sue Halpern dans la New York Review of Books que je citais ici au sujet de WikiLeaks :
« The real connection between Snowden’s NSA revelations and an anonymous leaker handing off CIA malware to WikiLeaks, however, is this: both remind us, in different ways, that the expansion of the surveillance state has made us fundamentally less secure, not more. »

avatar House M.D. | 

@occam

Merci à vous et à Scribe pour cette leçon de français gratuite... On en apprend tous les jours !

avatar macfredx | 

@House M.D.

+1 ?

avatar r e m y | 

Là encore, j'imagine qu'on peut profiter de la crédulité de l'utilisateur pour qu'il branche lui-même une telle clé USB sur son Mac.
Combien de fois j'ai vu des collègues recevoir une clé avec une doc quelconque par courrier (ou récupérée sur un salon professionnel) et la brancher immédiatement sur leur PC pour voir ce qu'elle contient.

avatar @MathieuChabod | 

@r e m y

Mais il faut qu'elle reste branchée au boot. Ça limite déjà un peu le potentiel.

avatar Powerdom | 

relis bien l'article

avatar Hercule Poirot | 

@ Powerdom :

De ce que j'ai compris en lisant en diagonale le document "leaké", il faut bien que le dispositif soit branché au moment du démarrage.

avatar pocketalex | 

il suffit d'une femme de ménage innocente et hop, c'est toute une entreprise qui passe en mode "open bar" sans même le savoir

avatar r e m y | 

@pocketalex

Florian serait un agent infiltré?

avatar C1rc3@0rc | 

@MathieuChabod

«Mais il faut qu'elle reste branchée au boot. Ça limite déjà un peu le potentiel.»

C'est assez simple en fait et il y a plusieurs options:
- la royale: le chargeur USB
- la favorite: l'adaptateur Ethernet (en milieu sécurisé le WIFI est bloqué...)
- l'élégante: utilisation d'un exploit secondaire qui fait freezer le Mac ou redémarrer!

Il faut aussi comprendre que ces outils sont utilisés par des hacker (et des espions) professionnels dans le cadre d'une strategie d'intrusion pour voler ou installer des données falsifiées (servant de preuves a charge par exemple). Donc, il n'y a pas qu'un outil qui est utilisé a la fois !

Dans le cadre du renseignement de masse, les strategies different et sont surtout basées sur une premiere analyse automatique par des outils de big data. Apres, les cibles sont sélectionnées et traitées spécifiquement.
Mais il faut se souvenir que si une faille est exploitée par la CIA, elle peut l'etre par la mafia ou des services de renseignement iranien, saoudiens, israélien, nord-coreen, russe, chinois,...

En résumé, il est assez facile de se prémunir d'un outil d'espionnage, mais pas de plusieurs utilisés par des professionnels.
Et surtout tout le monde est concerné du fait de l'exploitation des liens sociaux pour toucher des cibles particulieres!

avatar Bigdidou | 

@C1rc3@0rc
'Mais il faut se souvenir que si une faille est exploitée par la CIA, elle peut l'etre par la mafia ou des services de renseignement iranien, saoudiens, israélien, nord-coreen, russe, chinois,..."

Ou pas.
Une faille est une arme qu'il faut pouvoir utiliser.
C'est bien beau d'avoir l'arme atomique, il;faut aussi,avoir le vecteur.
Les,russes, les israeliens, les français et évidemment les américains disposent des virus vecteurs, parfois très sophistiqués. On p'a vu avec l'histoire invraisemblable des centrifugeuses iraniennes par exemple.
Pour le moment je ne connais pas de grands faits d'armes des saoudiens ou des iraniens, mais peut-être qu'ils existent, hein.
Sinon, le boulot de la CIA, c'est d'utiliser des armes pour se renseigner, assassiner, saboter, etc... Je ne crois pas que leur boulot soit de contacter les constructeurs et éditeurs civils pour améliorer leur qualité.
Par plus que le boulot de l'armée c'est de contrôler les armes sous prétexte que les terroristes en ont aussi, mais bien d'utiliser ces armes mieux qu'eux.

avatar House M.D. | 

@r e m y

Combien de fois j'ai vu ce comportement aussi chez mes anciens collègues, et c'était dans l'Armée... C'est si répandu et ça paraît tellement sans risque pour l'utilisateur lambda qu'il est extrêmement facile de faire passer n'importe quoi sur le réseau d'ordinateurs normaux.

Bon, par contre, pour la boucle la plus sécurisée, on peut se rassurer en voyant que rien n'est autorisé à entrer qui soit électronique... Heureusement.

avatar ovea | 

Bon ? maintenant, va falloir mettre des contre me mesures à jour ?

avatar C1rc3@0rc | 

Par exemple?

avatar pocketalex | 

un utilitaire pour vérifier l'intégrité de son EFI

Intel en a bien sorti un

avatar C1rc3@0rc | 

C'est pas une contre mesure.
C'est un outil - au mieux - d'audit.
Et niveau sécurité il ne faut jamais se fier a Intel ni a Cisco.

avatar Lightman | 

Mais où va le monde ? ?

avatar Ali Ibn Bachir Le Gros | 

Les usines de production des sous-traitants d''Apple. Le refurb. Les sites de vente de produits Apple d'occasion. Tout devient suspect :-)

avatar spece92 | 

Oubliez pas que Hollande a essayé d'attraper Snowden pour le livrer à Obama et qu'Assange est assiégé depuis 2 ans par la police Anglaise.

avatar Ali Ibn Bachir Le Gros | 

Snowden il est cuit. Poutine va le filer à Trump vite fait.

avatar jackhal | 

"Oubliez pas que Hollande a essayé d'attraper Snowden pour le livrer à Obama"

Comment tu veux qu'on oublie ? C'était le même jour où Poutine et Wonder Woman ont repoussé l'attaque des extra-terrestres venus de la Galaxie du Moulinet. Ça marque.

avatar scanmb (non vérifié) | 

@spece92

En scooter avec un casque ?

avatar spece92 | 

@scanmb @jackhal

Ça gratte hein ? Messieurs les collabos-résistants.

avatar scanmb (non vérifié) | 

@spece92

Pas compris ....
Une allusion a ?

avatar jlovama | 

Bah, chacun fait son job, CIA, fabricants, WikiLeaks... tout le monde aujourd'hui surveille tout le monde. Ces pratiques sont vieilles comme l'humanité, mais la technologie d'aujourd'hui accélère diablement les choses !

La question est: est-ce que tout ça s'équilibre ?

Au moins, plus personne (de censé) ne peut plus croire que ça n'existe que dans James Bond, et c'est déjà bien... après, à chacun de faire gaffe, par lui-même et/ou par... la politique ? :-)

avatar DVP | 

Oh mon dieu, les espions nous espionnent!

avatar Katsini | 

Bon et ben je ressors mon poste à galène et mon livre de code, en morse...??

avatar Nesus | 

Nous sommes très loin de l'écoute massive qu'on nous avait promise. Ça reste limité. Ça demande d'avoir suffisamment besoin d'informations sur un personne pour le mettre en œuvre. La norme USB continue d'être une passoire. C'est pour ça que mon bosse les a supprimé (physiquement) sur le sien.

avatar pocketalex | 

@Nesus

"Nous sommes très loin de l'écoute massive qu'on nous avait promise. Ça reste limité."

Si on te parle des croissants d'une boulangerie, ça ne veut pas dire que la boulangerie ne vends que des croissants, rien que des croissants.

Là c'est pareil, ce moyen d'écouter un Mac n'est pas le seul et unique moyen d'écouter les gens. Si tu ajoutes la lectures des emails, des feed réseaux sociaux, des messageries, des sms, des apps, les sites que tu visites, les forums que tu consultes, ceux auquel tu participes, les conversations téléphoniques aussi, portables, skype, tel fixe

J'arrête là mais j'en oublie surement beaucoup, bref, les écoutes, t'inquiète pas, c'est massif

avatar Le docteur | 

Damned ! Le Maître est dans le coup !

avatar macfredx | 

@Le docteur

Je cherche la contrepèterie ?

avatar pocketalex | 

@macfredx

En tout cas, soyez présent à l'élection !

avatar macfredx | 

@pocketalex

????

avatar Rapsodan2 | 

On pense toujours que ça n'arrive qu'aux autres, mais il y a deux ans, dans une chambre d'hôtel d'Hong Kong, mon mac ne fonctionnait plus et affichait toujours la fenêtre avec le mot de passe pour accéder au EFI. Comme indiqué sur WikiLeaks. Après une soirée à tenter de régler le problème et un peu le lendemain matin, j'ai abandonné.

Le lendemain après-midi en rentrant à l'hôtel il fonctionnait de nouveau. Tentative d'intrusion? Probablement... De qui? Pas la moindre idée.

Est-il encore (hacké)? Je ne sais pas...

avatar occam | 

@Rapsodan2

« Tentative d'intrusion? Probablement...
De qui? Pas la moindre idée. »

Quand les premiers chasseurs à réaction MiG soviétiques firent irruption dans la guerre de Corée sous pavillon chinois ou nord-coréen, l’état-major de la RAF produisit un rapport alarmant qui provoqua un débat au parlement britannique. Un député conservateur demanda à savoir, le plus faux-cul possible, « d’où, par quels cheminements et avec quelles complicités » ces avions soviétiques avaient fait intrusion.

Churchill, alors à nouveau premier ministre, choisit d’y répondre personnellement. Convaincu de l’inévitabilité à long terme d’un conflit d’intérêts entre la Chine de Mao et l’URSS (isolé en cette appréciation, et en opposition totale avec la doctrine prévalant à Washington), Churchill décida de ménager les susceptibilités chinoises :

« Malgré les progrès constants dans le domaine des transports aériens, il serait prématuré d’assumer une origine lunaire de ces appareils. »

Une origine lunaire du hacking (putatif) de votre Mac paraît tout aussi peu vraisemblable…

avatar SMDL | 

@occam

Sourires Alpha :)))

avatar Bigdidou | 

@occam
"Une origine lunaire du hacking (putatif) de votre Mac paraît tout aussi peu vraisemblable…"

Mais pas du tout.
Les hacking sont bien plus fréquents les nuits de pleine lune, surtout si elles sont chaudes et un peu humides.
C'est bien connu.

avatar Rapsodan2 | 

Et je précise que je suis un maniaque de la sécurité!!!

avatar xiscf | 

Bonjour

Peut-on considérer que la création d'une clef USB via un logiciel tiers (pour effectuer une clean install), est donc un risque potentiel ? Après tous, on branche bien la clef au boot de la machine.

Cordialement,

[EDIT:]
Oops désolé pour la nécro, je n'avais pas vu la date. Vraiment désolé.

CONNEXION UTILISATEUR