Une vulnérabilité de l'iPhone a été découverte lors d'un concours qui s'est transformé en outil de surveillance contre les musulmans ouïghours

En mars 2017, un groupe de pirates chinois est arrivé à Vancouver, au Canada, avec un seul objectif: trouver les faiblesses cachées et les failles des technologies les plus courantes au monde. Google Chrome, le système d'exploitation Microsoft Windows et les systèmes Apple étaient leur cible, mais personne n'enfreignait la loi. Ce ne sont que quelques-unes des personnes qui ont participé à Pwn2Own, l'une des compétitions de piratage les plus populaires au monde.

Concours Pwn2Own

C'était le dixième anniversaire de Pwn2Own, un concours qui attire des hackers d'élite et des experts en sécurité du monde entier avec de gros prix en espèces s'ils découvrent des vulnérabilités jusqu'alors inconnues connues sous le nom de «jours zéro».

 Une fois la faille découverte, les détails sont remis aux entreprises concernées, ce qui leur laisse le temps de les réparer, tandis que le pirate reçoit une récompense monétaire et un droit de vantardise éternel.

Pendant des années, les hackers chinois ont été les forces les plus dominantes dans des compétitions comme Pwn2Own, remportant des millions de dollars en récompenses et s'établissant parmi l'élite. Mais en 2017, tout s'est arrêté.

Dans un communiqué, le fondateur et PDG milliardaire du géant chinois de la cybersécurité Qihoo 360 - l'une des entreprises technologiques les plus importantes de Chine - a critiqué les citoyens chinois qui se sont rendus à l'étranger pour participer à des concours de piratage.

Dans une interview avec le site d'information chinois Sina, Zhou Hongyi a déclaré qu'une bonne performance dans de tels événements ne représentait qu'un succès "fantastique" et Zhou a averti qu'une fois que les pirates chinois affichent des faiblesses dans les compétitions à l'étranger, "ils ne peuvent plus être utilisés." Il a déclaré que les pirates informatiques et leur expertise en matière de cybersécurité devraient rester en Chine jusqu'à ce qu'ils puissent reconnaître la véritable importance et la valeur stratégique des vulnérabilités logicielles.

Peu de temps après, le gouvernement chinois a interdit aux chercheurs en cybersécurité d'assister à des compétitions de piraterie étrangères, et quelques mois plus tard, une nouvelle compétition a émergé en Chine pour remplacer les compétitions internationales, la Tianfu Cup, comme on l'appelait, avec des prix d'une valeur de plus d'un million de dollars.

L'événement inaugural a eu lieu en novembre 2018 et le grand prix de 200000 dollars est allé au chercheur Qixun Zhao, qui a montré une série remarquable d'exploits qui lui ont permis de contrôler facilement les derniers iPhones, et le chercheur chinois a trouvé une faiblesse dans le noyau de le système d'exploitation iPhone, qui est le noyau. Kernel, et le résultat?

Un attaquant distant peut prendre le contrôle de tout appareil iPhone qui a visité une page Web contenant le code malveillant Qixun, c'est le genre de piratage qui peut être vendu pour des millions de dollars sur le marché libre pour donner aux criminels ou aux gouvernements la possibilité d'espionner un grand nombre. des personnes, le chercheur a appelé cette vulnérabilité Le nom "Chaos" et deux mois plus tard, en janvier 2019, Apple a publié une mise à jour qui corrigeait le bogue, et c'est fait.

Mais en août de la même année, Google a publié une analyse exceptionnelle d'une campagne de piratage qui, selon lui, exploitait collectivement des iPhones. Les chercheurs ont disséqué cinq chaînes distinctes de chaînes d'exploitation qu'ils ont découvertes. Cette vulnérabilité comprenait Qixun qui a remporté le premier prix à Tianfu, et qui a été découvert par un autre hacker.

Les chercheurs de Google ont noté des similitudes entre les attaques utilisées dans le monde réel et la vulnérabilité Chaos. Mais ils ne semblaient pas intéressés à connaître l'identité de la victime et de l'agresseur, la victime était des musulmans ouïghours et l'attaque du gouvernement chinois.

Répression

Au cours des sept dernières années, la Chine a commis des violations des droits de l'homme contre des Ouïghours et d'autres groupes minoritaires dans l'ouest de la province du Xinjiang. Les aspects bien documentés de la campagne comprennent les camps de concentration, la stérilisation forcée systématique pour empêcher l'accouchement, la torture, le viol organisé, le travail forcé et efforts de surveillance sans précédent.

Les responsables de Pékin affirment que la Chine travaille pour lutter contre le terrorisme et l'extrémisme, mais les États-Unis, entre autres pays, ont qualifié ces mesures de génocide, ajoutant les violations à une répression sans précédent de haute technologie qui domine la vie des Ouïghours, s'appuyant sur partie sur les campagnes de piratage ciblées.

La piraterie des Ouïghours par la Chine est si agressive qu'elle s'étend bien au-delà des frontières de l'État, et les journalistes, les dissidents et quiconque soulève les soupçons de Pékin d'une loyauté insuffisante sont visés.

Peu de temps après que les chercheurs de Google ont remarqué les attaques, Apple a publié un article de blog rare sur son blog média Il a confirmé que l'attaque s'est déroulée sur une période de deux mois, c'est-à-dire la période qui a commencé immédiatement après que Qixun a remporté la Coupe Tianfu et se prolonge jusqu'à ce qu'Apple publie la réforme.

Apple dit que les musulmans ouïghours en Chine ont été ciblés dans la récente campagne de piratage sur les iPhones, et les Américains ont conclu que les Chinois ont principalement suivi le plan de «valeur stratégique» développé par Zhou Hongyi de Qihoo, où la Coupe Tianfu est habituée trouver de nouvelles vulnérabilités et elle a été rapidement remise aux services de renseignement chinois, qui l'ont ensuite utilisée pour espionner les Ouïghours.

Enfin, ces vulnérabilités sont d'une valeur incroyable, non seulement financièrement, mais en termes de leur capacité à créer une fenêtre ouverte pour l'espionnage et la répression, comme cela s'est produit avec les musulmans ouïghours lorsqu'ils étaient suivis et surveillés en temps réel.

Source:

revue de la technologie