Avec un accent particulier sur les applications mobiles et les appareils connectés et non gérés, ce VMX Labs Cybersecurity Threat Roundup est compilé par les chercheurs en cybersécurité et les data scientists de Verimatrix. Il comprend des liens vers les avis de menaces les plus importants du mois dernier, des informations sur les vulnérabilités et les correctifs, ainsi que des liens vers des rapports de renseignement récents.

Informations sur les menaces

  • Autospill est une nouvelle attaque sur Android qui qui vole les identifiants de connexion pendant qu'un gestionnaire de mot de passe remplit automatiquement automatiquement les identifiants sauvegardés dans la page de connexion chargée dans WebView. WebView est un navigateur web intégré dans les applications natives pour rendre les pages web. Il garantit une expérience utilisateur transparente. La plupart des gestionnaires de mots de passe Android sont vulnérables à cette attaque. Tous les gestionnaires de mots de passe testés se révèlent vulnérables lorsque Javascript est activé dans WebView.
  • BLUFFS (Attaques et défenses contre le secret avancé et futur de Bluetooth) rompt le secret avancé des sessions Bluetooth. Il se compose de six attaques différentes exploitant des failles architecturales indépendantes du modèle matériel et de la version logicielle. Plusieurs modèles de smartphones iPhone, Pixel, Mi et Galaxy sont concernés.
  • Caméléon Le trojan bancaire Android (ABT) a une nouvelle variante qui ajoute l'Italie et le Royaume-Uni à ses cibles existantes que sont l'Australie et la Pologne. Cette variante améliorée a modifié les instructions de l'utilisateur afin de contourner manuellement la contre-mesure des paramètres restreints d'Android 13 et d'accorder les autorisations suivantes Permissions abusives pour le service d'accessibilité. Elle met également en œuvre une autre approche pour détecter l'application au premier plan, qui déclenche l'attaque par superposition en l'absence de permissions du service d'accessibilité. Chameleon ABT est une menace active qui évolue avec des défenses améliorées.
  • Faux mode de verrouillage recherche démontre une technique d'altération post-exploitation technique d'altération post-exploitation. Elle permet aux logiciels malveillants de faire croire aux victimes que leurs iPhones sont en mode verrouillage.
  • Des agents ChatGPT malveillants peuvent exfiltrer des données sensibles dans les conversations vers des serveurs tiers sans le consentement de l'utilisateur. OpenAI a déjà mis en place un correctif pour l'application web ChatGPTLes applications iOS (et probablement Android) ne sont pas encore corrigées.
  • L'opération Triangulation a révélé le dernier exploit utilisé dans la chaîne d'attaque pour espionner les iPhones des chercheurs en sécurité de Kaspersky. la chaîne d'attaque espionnant les iPhones des chercheurs en sécurité de Kaspersky. Il s'agit d'une fonctionnalité matérielle non documentée qui permet un accès direct à la mémoire cache. On ne sait toujours pas comment les attaquants ont découvert cette fonctionnalité.
  • Triade de pêche groupe est un acteur de la menace de langue chinoise spécialisé dans le smishing. Dans sa dernière campagne, il se fait passer pour l'Autorité fédérale des Émirats arabes unis pour l'identité et la citoyenneté afin de voler des informations personnelles identifiables (PII) et des données de cartes de crédit des résidents des Émirats arabes unis et des étrangers vivant ou visitant le pays.
  • SpyLoan, une famille d'applications de prêt malveillantes, a fait un bond en 2023. Ces applications exploitent les personnes dans le besoin en leur accordant des prêts à taux d'intérêt élevé et en les espionnant pour les faire chanter et collecter les fonds. Il s'agit d'un système de prêt usuraire numérique qui s'adresse à un public plus large en utilisant la technologie. Étant donné qu'il est possible d'accéder à des informations sensibles sur les utilisateurs par le biais d'applications mobiles, ces dernières sont toujours impliquées dans ce système. Certaines de ces applications se font même passer pour des marques bien connues de sociétés de services financiers.
  • Xamalicious est un logiciel publicitaire pour Android qui a été téléchargé plus de 327 000 fois depuis le Play Store. Il abuse du service d'accessibilité d'Android pour cliquer sur des publicités et télécharger des applications sans contenu utilisateur. Il est conçu avec le cadre Xamarin, qui apporte un autre niveau d'obscurcissement.

Vulnérabilités et correctifs

  • Mises à jour de sécurité d'Android pour le mois de décembre (2023-12-01 et 2023-12-05) ont corrigé plus de 90 vulnérabilités, y compris trois zero-days (CVE-2023-33063, CVE-2023-33107, et CVE-2023-33106) activement exploités dans la nature. Le niveau de correctif de sécurité 2023-12-05 ou plus récent résout tous ces problèmes.
  • La CISA ajoute quatre vulnérabilités à son catalogue de vulnérabilités exploitées connues (CVE-2023-33106, CVE-2023-33107, CVE-2023-33063, et CVE-2022-22071) après que Qualcomm a annoncé des informations détaillées dans le Bulletin public de décembre 2023. Les correctifs des trois premières failles ont été communiqués aux équipementiers en octobre de l'année dernière, et la dernière vulnérabilité l'a été en mai 2022.
  • Les piles Bluetooth d'Android, Linux, MacOS et iOS sont toutes vulnérables à l'attaque par injection de clé non authentifiée dans certaines conditions. La vulnérabilité sous-jacente (CVE-2023-45866) a été corrigée dans le correctif de sécurité Android 2023-12-05 et iOS 17.2 versions.
  • 5ghoul est une collection de vulnérabilités dans le firmware des modems 5G, dont plusieurs affectent les modems 5G de Qualcomm et MediaTek. Ces vulnérabilités entraînent des attaques par déni de service (DoS) et par dégradation de la connexion. 626 modèles de smartphones sont vulnérables, et toutes les vulnérabilités n'ont pas encore été divulguées.
  • Apple a rétroporté les correctifs pour deux failles de sécurité activement exploitées(CVE-2023-42916 et CVE-2023-42917) sur les anciens appareils dans la version 16.7.3 d'iOS.

Rapports de renseignement