Ainuüksi selle sõnumi vaatamine võib teie seadet ohustada

Turvalisuse parimate tavade järgimist peetakse mõistlikuks tegevuseks selliste seadmete hoidmisel nagu sülearvutid ja nutitelefonid on ohutud või kuni teadlased avastasid uue nipi, mis on praktiliselt tuvastamatu.

Nagu nad lahkavad hiljuti lapitud Apple'i viga, mida kasutati Pegasuse nuhkvara installimiseks kindlatele sihtmärkidele, Google'i projekti turvateadlased Zero on avastanud uuendusliku uue ründemehhanismi, mida nad on nimetanud "nullklõpsu ärakasutamiseks", mida ükski mobiilne viirusetõrje ei suuda foolium.

"Kui seadet ei kasutata, pole mingit võimalust ära hoida "nullklõpsuga ärakasutamist"; see on relv, mille vastu pole kaitset," väitis

Google Project Zero insenerid Ian Beer ja Samuel Groß blogipostituses.

Frankensteini koletis

Pegasuse nuhkvara on Iisraeli tehnoloogiaettevõtte NSO Group vaimusünnitus, mis on nüüdseks olnud lisati USA üksuste loendisse”, mis sisuliselt blokeerib selle USA turult.

«Pole selge, milline on privaatsuse mõistlik seletus mobiiltelefonis, kus teeme sageli avalikes kohtades väga isiklikke kõnesid. Kuid me kindlasti ei eelda, et keegi meie telefoni pealt kuulaks, kuigi Pegasus võimaldab inimestel seda teha," selgitas Saryu Nayyar, küberturvalisuse ettevõtte tegevjuht Gurucul, e-kirjas Lifewire'ile.

Pegasuse nuhkvara tõusis rambivalgusesse 2021. aasta juulis, mil Amnesty International avalikustas et seda kasutati ajakirjanike ja inimõiguslaste järele luuramiseks kogu maailmas.

Sellele järgnes a Citizen Labi teadlaste ilmutus augustil 2021, pärast seda, kui nad leidsid tõendeid üheksa Bahreini aktivisti iPhone 12 Pro jälgimise kohta. ärakasutamise kaudu, mis vältis iOS 14 uusimatest turvakaitsetest, mida ühiselt nimetatakse BlastDooriks.

Tegelikult on Apple esitanud a hagi NSO Groupi vastu, pidades seda vastutavaks iPhone'i turvamehhanismidest kõrvalehiilimise eest, et jälgida Apple'i kasutajaid Pegasuse nuhkvara kaudu.

"Riigi toetatud osalejad, nagu NSO Group, kulutavad miljoneid dollareid keerukatele seiretehnoloogiatele ilma tõhusa vastutuseta. See peab muutuma," ütles Craig Federighi, Apple'i tarkvaratehnoloogia vanem asepresident, hagi käsitlevas pressiteates.

Kaheosalises Google Project Zero postituses selgitasid Beer ja Groß, kuidas NSO Group sai Pegasuse nuhkvara Sihtmärkide iPhone'id, mis kasutavad nullklõpsu rünnakumehhanismi, mida nad kirjeldasid nii uskumatuna kui ka hirmutavana.

Nullklõpsu ärakasutamine on täpselt selline, nagu see kõlab – ohvrid ei pea midagi klõpsama ega puudutama, et ohtu sattuda. Selle asemel võimaldab lihtsalt rikkuva pahavaraga meili või sõnumi vaatamine selle seadmesse installida.

Muljetavaldav ja ohtlik

Teadlaste sõnul saab rünnak alguse iMessage'i rakenduses saadetud pahatahtliku sõnumi kaudu. Et aidata meil murda häkkerite välja töötatud üsna keerukat ründemetoodikat, kutsus Lifewire appi sõltumatu turvauurija. Devanand Premkumar.

Premkumar selgitas, et iMessage'il on animeeritud .gif-failide käsitlemiseks mitu sisseehitatud mehhanismi. Üks neist meetoditest kontrollib konkreetset failivormingut, kasutades teeki nimega ImageIO. Häkkerid kasutasid siht-iPhone'ile juurdepääsu saamiseks "gif-trikki", et kasutada ära aluseks oleva tugiteegi, nimega CoreGraphics, nõrkust.

"Lõppkasutajatena peaksime olema alati ettevaatlikud tundmatutest või ebausaldusväärsetest allikatest pärit sõnumite avamisel, olenemata sellest, kui köitev on teema või sõnum, kuna seda kasutatakse mobiiltelefoni esmase sisenemispunktina," soovitas Premkumar Lifewire'il. meili.

Premkumar lisas, et praegune ründemehhanism töötab teadaolevalt ainult iPhone'ides, kuna ta läbis sammud, mida Apple on praeguse haavatavuse kõrvaldamiseks astunud. Kuid kuigi praegune rünnak on piiratud, on ründemehhanism avanud Pandora laeka.

"Nullkliki ärakasutamine ei sure niipea. Selliseid null-kliki ärakasutusi testitakse ja rakendatakse üha enam kõrgetasemeliste sihtmärkide vastu. tundlikud ja väärtuslikud andmed, mida saab selliste ärakasutatud kasutajate mobiiltelefonidest välja võtta," ütles Premkumar.

Samal ajal otsustas Apple lisaks NSO-vastasele hagile pakkuda tehnilist, ohuluure ja inseneriabi Citizen Labi teadlastele pro-bono ja on lubanud pakkuda samasugust abi ka teistele organisatsioonidele, kes teevad selles kriitilist tööd. ruumi.

Lisaks on ettevõte panustanud 10 miljoni dollari ulatuses ja hüvitanud kõik kahjud hagist määrati küberseire propageerimise ja uurimisega seotud organisatsioonide toetamiseks kuritarvitused.