Les pirates ont ciblé les utilisateurs d’Android en exploitant un bug zero-day dans les puces Qualcomm
Lundi, le fabricant de puces Qualcomm confirmé que les pirates ont exploité un zero-day – c’est-à-dire une faille de sécurité inconnue du fabricant du matériel lorsqu’elle a été utilisée de manière abusive – dans des dizaines de chipsets trouvés dans des appareils Android populaires.
La vulnérabilité zero-day, officiellement désignée CVE-2024-43047« pourrait faire l’objet d’une exploitation limitée et ciblée », selon Qualcomm, citant des « indications » non précisées du Threat Analysis Group de Google, l’unité de recherche de l’entreprise qui enquête sur les menaces de piratage gouvernementales. Le laboratoire de sécurité d’Amnesty International, qui travaille à protéger la société civile contre les menaces de surveillance numérique et de logiciels espions, a confirmé l’évaluation de Google, a déclaré Qualcomm.
L’agence américaine de cybersécurité CISA a inclus la faille Qualcomm dans sa liste de vulnérabilités dont on sait qu’elles sont ou ont été exploitées.
À ce stade, il n’y a pas beaucoup de détails sur qui exploitait cette vulnérabilité « dans la nature », ce qui signifie que celui qui utilisait le jour zéro ciblait des individus dans de véritables campagnes de piratage. On ne sait pas non plus quelles personnes ont été ciblées, ni pourquoi.
La porte-parole de Qualcomm, Catherine Baker, a déclaré à TechCrunch que la société félicitait « les chercheurs de Google Project Zero et d’Amnesty International Security Lab pour avoir utilisé des pratiques de divulgation coordonnées », permettant à la société de déployer des correctifs pour la vulnérabilité.
Le fabricant de puces s’est référé à Amnesty et à Google pour plus de détails sur l’activité de menace.
La porte-parole d’Amnesty, Hajira Maryam, a déclaré à TechCrunch que l’organisation à but non lucratif mènerait des recherches sur cette vulnérabilité « qui devraient être publiées prochainement ».
La porte-parole de Google, Kimberly Samra, a déclaré que TAG n’avait rien à ajouter pour le moment.
Le porte-parole de Qualcomm a déclaré que « des correctifs ont été mis à la disposition de nos clients à partir de septembre 2024 ». Il appartient désormais aux clients de Qualcomm – les fabricants d’appareils Android qui utilisent les chipsets vulnérables – de publier le correctif sur les appareils de leurs clients.
Dans son avis, Qualcomm a répertorié 64 chipsets différents affectés par cette vulnérabilité, y compris la plate-forme mobile phare Snapdragon 8 (Gen 1) de la société, utilisée dans des dizaines de téléphones Androiddont certains fabriqués par Motorola, Samsung, OnePlus, Oppo, Xiaomi et ZTE, ce qui signifie que des millions d’utilisateurs dans le monde sont potentiellement vulnérables.
Cela étant dit, le fait que Google et Amnesty enquêtent sur l’utilisation de ce jour zéro dans le cadre d’une « exploitation limitée et ciblée » suggère que la campagne de piratage a probablement été utilisée contre des individus spécifiques, plutôt que contre un grand nombre de cibles.
Brian Heater a contribué au reportage.
MISE À JOUR, 9 octobre, 13 h 07 HE: Cette histoire a été mise à jour pour inclure le commentaire d’Amnesty.
