Pouhý pohled na tuto zprávu by mohl ohrozit vaše zařízení

Dodržování osvědčených bezpečnostních postupů je považováno za obezřetný postup pro udržení zařízení jako notebooky a smartphony bezpečné, nebo to bylo, dokud výzkumníci neobjevili nový trik, který je virtuálně nezjistitelné.

Jak pitvají nedávno opraveno Chyba Apple, která byla použita k instalaci spywaru Pegasus na konkrétní cíle, bezpečnostní výzkumníci z projektu Google Zero objevil nový inovativní mechanismus útoku, který nazvali „využívání nulového kliknutí“, který žádný mobilní antivirus nedokáže fólie.

„Kromě toho, že zařízení nepoužíváte, neexistuje způsob, jak zabránit zneužití pomocí ‚využívání s nulovým kliknutím;' je to zbraň, proti které není obrana,“ tvrdil

Inženýři Google Project Zero Ian Beer a Samuel Groß v příspěvku na blogu.

Frankensteinovo monstrum

Spyware Pegasus je duchovním dítětem NSO Group, izraelské technologické firmy, která je nyní přidán do amerického „Seznamu entit“, který jej v podstatě blokuje z amerického trhu.

„Není jasné, co je rozumné vysvětlení soukromí na mobilním telefonu, kde často na veřejných místech telefonujeme vysoce osobně. Rozhodně ale neočekáváme, že by někdo odposlouchával náš telefon, i když to Pegasus lidem umožňuje,“ vysvětlil. Saryu Nayyar, generální ředitel společnosti zabývající se kybernetickou bezpečností Gurucul, v e-mailu na Lifewire.

Spyware Pegasus se dostal do centra pozornosti v červenci 2021, kdy Amnesty International odhalila že byl používán ke špehování novinářů a aktivistů za lidská práva po celém světě.

Následoval a odhalení od výzkumníků z Citizen Lab v srpnu 2021 poté, co našli důkazy o sledování na iPhone 12 Pro devíti bahrajnských aktivistů prostřednictvím exploitu, který se vyhnul nejnovějším bezpečnostním ochranám v iOS 14 kolektivně známém jako BlastDoor.

Ve skutečnosti společnost Apple podala žádost žaloba proti skupině NSO, která ji činí odpovědnou za obcházení bezpečnostních mechanismů iPhone za účelem sledování uživatelů Apple prostřednictvím spywaru Pegasus.

„Státem podporovaní aktéři, jako je NSO Group, utrácejí miliony dolarů za sofistikované sledovací technologie bez účinné odpovědnosti. To se musí změnit,“ řekl Craig Federighi, senior viceprezident softwarového inženýrství společnosti Apple, v tiskové zprávě o soudním sporu.

Ve dvoudílném příspěvku Google Project Zero Beer a Groß vysvětlili, jak skupina NSO dostala spyware Pegasus na iPhony cílů využívající mechanismus útoku zero-click, který popsali jako neuvěřitelný a zároveň děsivý.

Zneužití nulového kliknutí je přesně to, co zní – oběti nemusí na nic klikat nebo klepat, aby byly kompromitovány. Místo toho jednoduché zobrazení e-mailu nebo zprávy s připojeným škodlivým malwarem umožňuje instalaci do zařízení.

Působivé a nebezpečné

Podle výzkumníků útok začíná prostřednictvím hanebné zprávy v aplikaci iMessage. Aby nám pomohl prolomit poměrně složitou metodologii útoků navrženou hackery, požádal Lifewire o pomoc nezávislého bezpečnostního výzkumníka. Devanand Premkumar.

Premkumar vysvětlil, že iMessage má několik vestavěných mechanismů pro zpracování animovaných souborů .gif. Jedna z těchto metod kontroluje konkrétní formát souboru pomocí knihovny s názvem ImageIO. Hackeři použili „gif trik“ k tomu, aby zneužili slabinu v základní podpůrné knihovně zvané CoreGraphics, aby získali přístup k cílovému iPhonu.

„Jako koncoví uživatelé bychom měli být vždy opatrní při otevírání zpráv z neznámých nebo nedůvěryhodných zdrojů, bez ohledu na to, jak lákavé jsou předmět nebo zpráva, protože se používá jako primární vstupní bod do mobilního telefonu,“ radil Premkumar Lifewire v e-mailem.

Premkumar dodal, že o současném útočném mechanismu je známo, že funguje pouze na iPhonech, když prošel kroky, které Apple podnikl, aby zabránil současné zranitelnosti. Ale zatímco byl současný útok omezen, útočný mechanismus otevřel Pandořinu skříňku.

„Využití s ​​nulovým kliknutím v dohledné době nezemře. Takových exploitů s nulovým kliknutím bude testováno a nasazováno proti vysoce profilovaným cílům stále více citlivá a cenná data, která lze získat z mobilních telefonů takto zneužitých uživatelů,“ řekl Přemkumar.

Mezitím se Apple kromě žaloby proti NSO rozhodl poskytnout technickou pomoc, zpravodajství o hrozbách a technickou pomoc výzkumníkům Citizen Lab pro-bono a slíbil nabídnout stejnou pomoc dalším organizacím, které v této věci vykonávají zásadní práci prostor.

Kromě toho společnost přispěla částkou 10 milionů dolarů a také všechny škody oceněný ze soudního sporu na podporu organizací zapojených do prosazování a výzkumu kybernetického dohledu zneužívání.