iOS : une simple visite sur un site web peut suffire à pirater votre iPhone
Une simple visite sur un site web peut suffire à compromettre un iPhone vulnérable. Dans une nouvelle étude, Zimperium a identifié 608 domaines malveillants associés à Coruna, un framework d’exploitation de failles d’iOS. Plus inquiétant, l’infrastructure repérée peut adapter ses méthodes à la version du système installé, en utilisant notamment une seconde chaîne d’attaque baptisée DarkSword. Des données personnelles peuvent ainsi être dérobées sans téléchargement d’application ni intervention de l’utilisateur.
Fin octobre 2026, l’équipe de recherche zLabs de Zimperium a recensé 608 domaines diffusant du code malveillant lié à Coruna. Son analyse révèle également une infrastructure capable de sélectionner automatiquement la méthode d’exploitation adaptée à l’appareil ciblé. Ces découvertes illustrent la circulation d’outils initialement associés à des opérations de cyberespionnage ciblées, désormais réutilisés dans des campagnes plus diversifiées.
De faux sites pour infecter les iPhone
Pour piéger leurs victimes, les cybercriminels utilisent notamment de faux sites de rencontres, des plateformes de compagnons virtuels reposant sur l’intelligence artificielle, des promotions liées aux cryptomonnaies et des services de streaming.
Ces pages peuvent sembler parfaitement ordinaires. Un composant invisible charge pourtant du code malveillant en arrière-plan. Si l’appareil présente une faille exploitable, l’attaque peut se déclencher pendant la navigation, sans installation de logiciel ni autorisation particulière.
L’infrastructure adapte ses méthodes à la version d’iOS détectée. Selon Zimperium, Coruna cible les appareils sous iOS 17.2.1 ou une version antérieure, tandis qu’une chaîne dérivée de DarkSword vise certaines versions plus récentes, notamment iOS 18. Les attaquants peuvent ainsi viser plusieurs générations du système sans recourir systématiquement au même procédé.
Notes personnelles et données d’applications dans le viseur
Les conséquences d’une compromission peuvent dépasser le simple suivi de la navigation. D’après les chercheurs, les outils étudiés sont capables de contourner certaines protections du navigateur, d’accéder à des fonctions sensibles du système, de surveiller l’activité des applications et d’effacer des traces de leur passage.
Lors de tests réalisés sur un iPhone fonctionnant sous iOS 18.6.2, les chercheurs ont confirmé l’exfiltration d’une base de données Apple Notes et d’une liste de 214 applications installées vers un serveur contrôlé par les attaquants. Les informations contenues dans les notes peuvent être particulièrement sensibles si elles comprennent des données personnelles ou professionnelles. La liste des applications, quant à elle, renseigne les pirates sur les services utilisés par leur cible.
L’enquête a également révélé la présence d’un module conçu pour extraire des éléments d’authentification associés à Telegram. Ces données pourraient faciliter une prise de contrôle de compte, selon les éléments récupérés et les protections en place. Cela ne signifie toutefois pas que tous les utilisateurs de l’application sont concernés.
Autre découverte préoccupante, du code associé à Coruna a été retrouvé sur des sites légitimes précédemment compromis, ainsi que dans certaines versions d’un paquet JavaScript distribué sur npm, un registre utilisé par les développeurs. Les attaquants peuvent ainsi détourner des ressources habituellement considérées comme fiables pour diffuser leur code malveillant. Cette méthode complique la détection, puisque les victimes ne sont pas nécessairement redirigées vers une adresse manifestement suspecte.
Les entreprises face à de nouvelles difficultés
Ces techniques mettent en évidence les limites des protections reposant principalement sur le blocage des sites malveillants connus. Un collaborateur peut être exposé en consultant une page professionnelle légitime dont certains composants ont été compromis.
Pour les entreprises, la sécurité mobile ne peut donc plus se limiter au contrôle des applications installées ou au filtrage des adresses web. Elle doit aussi prendre en compte la version du système, les comportements suspects et les signes d’une compromission directement sur les appareils.
Les solutions de Mobile Threat Defense (MTD) peuvent contribuer à repérer les versions vulnérables d’iOS et à détecter certaines activités anormales. Elles complètent les dispositifs de sécurité traditionnels, sans garantir une protection absolue contre toutes les attaques.
Une mise à jour d’iOS reste indispensable
Selon Zimperium, Apple a déjà corrigé les vulnérabilités exploitées. Les appareils qui n’ont pas installé les correctifs correspondants peuvent donc rester exposés, ce qui fait du retard de mise à jour un facteur de risque majeur.
Pour vérifier la version installée sur un iPhone, il suffit d’ouvrir Réglages, Général, Informations. La recherche des correctifs s’effectue dans Réglages, Général, Mise à jour logicielle. Il est recommandé d’installer les mises à jour proposées pour son appareil et de maintenir également ses applications à jour.
La prudence reste nécessaire lors de la navigation, notamment face aux offres financières trop belles pour être vraies ou aux services douteux. Elle ne suffit cependant pas à écarter le risque : même un site habituellement fiable peut être compromis.
Avec 608 domaines identifiés et des méthodes d’exploitation adaptées à différentes versions d’iOS, l’enquête de Zimperium rappelle qu’un iPhone peut être exposé sans que son propriétaire ne remarque le moindre signe d’attaque. L’installation des correctifs de sécurité demeure l’une des principales mesures pour réduire ce risque.