L'affaire Pegasus a révélé le degré de vulnérabilité des smartphones, des failles parfois surprenantes que les éditeurs d'antivirus tentent d'anticiper.

"Le nombre d'attaques sur les terminaux mobiles est en explosion par rapport aux PC", avertit le chercheur en cybersécurité Yann Busnel. Fini le temps où Windows faisait office de victime facile alors que les smartphones restaient intouchables. En cause, l'explosion d'Android et iOS dans le monde au début des années 2010. 37 millions de Français privilégiaient leur smartphone pour se connecter à Internet en 2020 selon Médiamétrie. Les cyberattaquants n'ont donc plus aucune raison de se cantonner aux plateformes PC.

Adwares, malwares, spywares… Les menaces qui pèsent sur les écrans tactiles n'ont pas vraiment changé de nature par rapport à celles qui pèsent sur les ordinateurs traditionnels. A une nuance près... "Les applications iOS et Android vivent dans un espace hermétique que l'on appelle la sandbox, elles n'interagissent pas avec le système d'exploitation",décrypte Ondrej David, analyste des malwares sur mobile pour l'éditeur d'antivirus tchèque Avast. Ce sont des mesures de sécurité qui n'existent pas sur PC et qui constituent donc une difficulté technique supplémentaire pour les pirates. Des pirates qui ont dû adapter leurs méthodes et faire preuve d'une imagination sans fin pour surprendre leurs victimes, comme l'a montré l'affaire Pegasus cet été.

Le VPN, le rempart des organisations

Les antivirus pour smartphone ont une particularité bien spécifique par rapport aux versions Windows et macOS. D'une discrétion absolue, ils ne doivent pas perturber l'utilisateur, ni plomber la performance du mobile, souvent moins importante que celle d'un PC du bureau. En tout cas, quand leur installation est possible. Si les scans antiviraux sont envisageables sur Android, système très ouvert, pas la peine d'y penser sur iOS. Apple a volontairement poussé le concept de la sandbox jusqu'au bout. "Sur iPhone, il nous est impossible d'offrir une analyse, même si l'on a une protection Web qui peut bloquer la menace", regrette Gauthier Vathaire, responsable du marketing de l'entreprise roumaine de cybersécurité Bitdefender. D'où le discours tenu par les éditeurs d'antivirus auprès des clients de la marque à la pomme. Plutôt que de vérifier si un virus est présent sur le téléphone, leur Virtual Private Network (VPN) filtre les menaces sur le réseau avant qu'elles n'arrivent sur le smartphone.

Site peu fréquentable, application suspecte ou phishing en vue, le VPN est utilisé en prévention contre les agressions. Mais cet intermédiaire peut également protéger l'utilisateur d'une interception de données à une échelle plus locale. Particulièrement à l'étranger... S'il est plutôt rare de se connecter à des réseaux wifi publics en France compte tenu des offres avantageuses en data des opérateurs mobiles, la tentation est plus grande en passant les frontières. "Dès que l'on voyage à l'étranger, on se connecte souvent aux réseaux publics, même dans les transports. Le VPN évite les interceptions de données", avance Gauthier Vathaire. Dans l'unité de recherche de l'Irisa pour laquelle il travaille à Rennes, Yann Busnel reconnait l'importance du VPN dans le protocole de sécurité informatique : "Notre direction des systèmes d'information recommande l'utilisation d'un VPN pour accéder à toutes les données internes, en plus d'une protection antivirus présente sur la plupart des smartphones." Les risques qui pèsent sur les travaux de recherche, les contrats commerciaux ou les informations à caractère politique peuvent tout autant se retrouver sur le smartphone d'un collaborateur que sur son ordinateur. D'où la vigilance accrue des acteurs. Le smartphone est considéré comme un mini-PC devant bénéficier des mêmes sécurités.

Les révélation, cet été, de l'existence d'un virus Pegasus, développé par la société israélienne NSO, ont tétanisé les élites dirigeantes européennes en même temps qu'elles ont rappelé que personne n'était intouchable. Reste une question : un antivirus aurait-il été capable de détecter cette attaque furtive qui exploitait des failles zero-day, c'est-à-dire jamais découvertes par d'autres acteurs que NSO ?Oui, répond Gauthier Vathaire. "Comme c'est un cheval de Troie à distance, notre protection web aurait pu filtrer les requêtes DNS et bloquer les commandes depuis les serveurs", assure l'expert de chez Bitdefender. Les principaux éditeurs d'antivirus interrogés répondent fièrement par l'affirmative, mais au conditionnel. Facile à dire une fois que la faille a été révélée au grand jour.

L'antivirus dans le cloud

Quand bien même le scan antiviral est possible sur Android, il peut s'avérer limité. Chaque antivirus dispose d'une base de données recensant les virus connus. C'est le système des signatures, à savoir comment le fichier malveillant est formé. Pour José Araujo, directeur de la technologie d'Orange Cyberdefense, cette technique traditionnellement utilisée sur les plateformes PC n'est pas suffisante. Afin de combler les trous dans la raquette, l'intelligence artificielle vient s'ajouter en complément : "Il est possible de faire de l'analyse avec des algorithmes pour savoir quel est le comportement du logiciel et s'il est malveillant."

Mais cette rustine à base d'IA encore expérimentale est loin d'être infaillible. Pour les entreprises, la branche cybersécurité de l'opérateur historique promet de mettre les grands moyens. Dans le cloud, la puissance de calcul est bien plus ambitieuse que le petit CPU d'un smartphone. Une méthode de détection baptisée Cyberfiltre signée Orange associe non pas un ou deux antivirus, mais huit différents. "Nous avons des plateformes en ligne à qui l'on soumet des logiciels pour faire tourner plein d'antivirus en même temps, ça augmente les possibilités de détection", détaille José Araujo. Une solution sans installation et à destination des professionnels qui passe par le réseau d'Orange. Le responsable affirme que cette option sera ouverte au grand public à l'avenir.

Le syndrome de l'iPhone

Parmi les grandes légendes sur le monde des antivirus, celle de l'infaillibilité d'iOS est de loin la plus discutée. L'actualité ne joue pas en la faveur d'Apple, le virus Pegasus ciblait principalement une faille de sécurité dans l'application iMessage de l'iPhone. De quoi abîmer l'image protectrice que la marque à la pomme veut donner de son écosystème. Pourtant, iOS présente bien de nombreux avantages sur le plan de la sécurité. Tout simplement parce qu'il s'agit d'un écosystème cloisonné. "Apple laisse moins de liberté aux utilisateurs alors que sur Android, il y a plus de choix sur la provenance des applications, donc plus de risques", justifie Gauthier Vathaire. En l'occurrence, il est question de la possibilité sur Android d'avoir recours à des magasins d'applications alternatifs au Play Store, impensable sur iOS où tout doit passer par l'App Store. "Ce n'est pas à la portée de tout le monde, mais de plus en plus d'applications sont proposées sur Android en apk (format des fichiers d'applications exécutables sur l'OS, ndlr), comme Fortnite pour ne pas payer les commissions du store", poursuit Gauthier Vathaire.

Autre atout d'iOS, la mainmise d'Apple sur le software et le hardware. Les deux sont indissociables contrairement à l'univers d'Android, utilisable par n'importe quel constructeur. Un luxe qui permet à la marque d'assurer les mises à jour su iPhone plus longtemps que ses concurrents. "Apple est exemplaire en la matière (les appareils sont suivis pour au moins cinq ans, ndlr), alors que sur Android, le mises à jour ne dépendent pas de Google, d'où l'intérêt d'avoir un antivirus. 46% des smartphones Android dans le monde ont des versions qui ont plus de deux ans. Ça fait un gros parc à la merci des failles zero-day", note Gauthier Vathaire. Mais une fois qu'une faille est trouvée sur iOS, elle rend le terminal tout aussi vulnérable qu'un autre, d'où le sentiment de sécurité vendu un peu exagérément par Apple. "Il y a des millions de lignes de code sur un téléphone, donc il sera toujours vulnérable parce qu'il y a des failles humaines", confirme le chercheur Yann Busnel.

Meilleure illustration de la réalité sécuritaire d'un smartphone : les mouvements du marché noir. Les failles de sécurité sur mobile s'y échangent à prix d'or. Et pour José Araujo d'Orange, iOS n'est pas plus inviolable qu'Android, en témoigne les tarifs pratiqués. "Aujourd'hui,les vulnérabilités sur Android se monnayent 2,5 millions d'euros contre 2 millions sur iPhone, preuve qu'on a de plus en plus de mal à avoir des failles sur Android." Même avec les meilleurs outils antiviraux du monde, le risque zéro n'existe pas et la règle de prudence apprise dans le monde PC doit être la même sur les smartphones. "Un antivirus sur mobile apporte une sécurité, mais on ne peut pas entièrement se reposer dessus, ni se permettre des comportements à risque", rappelle José Araujo.