Tech
Une vaste infrastructure de cyberattaque ciblant les iPhone a été identifiée par les chercheurs en sécurité de Zimperium. Fin octobre 2026, l’entreprise affirme avoir recensé 608 domaines diffusant du code malveillant associé à Coruna, un framework capable d’exploiter certaines vulnérabilités d’iOS lors de la simple consultation d’un site web. Selon les travaux menés par l'équipe zLabs de Zimperium, l'infrastructure détectée serait également capable d'adapter automatiquement la méthode d'attaque à la version d'iOS installée sur l'appareil.
La particularité de cette campagne réside dans la manière dont les iPhone vulnérables peuvent être compromis. Contrairement aux attaques nécessitant l'installation d'une application malveillante ou l'ouverture d'un fichier, la consultation d'un site web compromis peut suffire à déclencher l'attaque. Les cybercriminels utilisent notamment de faux sites de rencontres, des plateformes de compagnons virtuels basés sur l'intelligence artificielle, des promotions liées aux cryptomonnaies ou encore des services de streaming.
Ces pages peuvent sembler parfaitement fonctionnelles. En arrière-plan, un composant invisible charge cependant du code malveillant susceptible d'exploiter les vulnérabilités présentes sur l'iPhone. L'attaque peut alors se produire sans téléchargement d'application, sans demande d'autorisation et sans intervention supplémentaire de la victime. L'infrastructure découverte par Zimperium serait capable d'identifier la version du système utilisée par l'iPhone avant de sélectionner la chaîne d'exploitation appropriée.
Le framework Coruna cible notamment les appareils fonctionnant sous iOS 17.2.1 ou une version antérieure, tandis qu'une chaîne dérivée de DarkSword est utilisée contre certaines versions plus récentes, notamment iOS 18. Cette capacité permet aux attaquants d'adapter automatiquement leurs méthodes en fonction de l'appareil qui visite le site compromis. Les recherches montrent également comment des outils auparavant associés à des opérations de cyberespionnage ciblées peuvent progressivement être réutilisés dans des campagnes malveillantes plus larges.
Les conséquences potentielles d'une compromission sont importantes. Selon Zimperium, les chaînes d'attaque analysées peuvent contourner certaines protections du navigateur afin d'accéder à des fonctionnalités sensibles du système, surveiller l'activité des applications ou encore supprimer certaines traces de l'attaque. Lors d'un test réalisé sur un iPhone équipé d'iOS 18.6.2, les chercheurs indiquent avoir confirmé l'exfiltration d'une base de données Apple Notes vers un serveur contrôlé par les attaquants.
Ils ont également observé la récupération d'une liste comprenant 214 applications installées sur l'appareil. Un autre module identifié au cours de l'analyse serait conçu pour extraire certains éléments d'authentification associés à Telegram. Autre élément préoccupant: les victimes n'ont pas nécessairement besoin de visiter volontairement un site manifestement suspect.
Les chercheurs indiquent avoir retrouvé du code associé à Coruna sur des sites légitimes précédemment compromis, ainsi que dans certaines versions d'un paquet JavaScript distribué via npm. Les attaquants peuvent ainsi exploiter des infrastructures normalement considérées comme fiables pour diffuser leur code. Cette technique complique la détection des campagnes, puisque le filtrage reposant uniquement sur des listes de domaines malveillants connus peut devenir insuffisant.
Cette évolution représente également un défi important pour la cybersécurité des entreprises. Un collaborateur utilisant un iPhone professionnel pourrait théoriquement être exposé à une tentative de compromission simplement en consultant un site légitime dont un composant aurait été infecté. La sécurité mobile ne peut donc plus se limiter à vérifier les applications installées sur les smartphones. Les attaques déclenchées depuis le navigateur deviennent également un risque à prendre en compte.
Les campagnes de ce type montrent notamment les limites des systèmes de protection reposant exclusivement sur le blocage d'adresses web considérées comme dangereuses. Apple a déjà corrigé les vulnérabilités exploitées dans les chaînes d'attaque identifiées, selon les informations communiquées par Zimperium. Le principal risque concerne donc les appareils qui utilisent encore des versions vulnérables ou insuffisamment mises à jour d'iOS.
Zimperium recommande de maintenir les iPhone à jour et, dans les environnements professionnels, de renforcer la surveillance directement sur les terminaux mobiles. Les solutions de Mobile Threat Defense peuvent notamment aider les organisations à identifier les versions vulnérables du système, certains comportements anormaux et d'éventuels signes de compromission.
Avec 608 domaines identifiés, cette campagne montre surtout que les attaques contre les smartphones deviennent de plus en plus discrètes : dans certains scénarios, une simple navigation sur le Web peut désormais constituer le point de départ d'une tentative de compromission.
Xiaomi préparerait un smartphone « wide slab » plus large que haut
