Bare å se på den meldingen kan kompromittere enheten din

Å følge beste praksis for sikkerhet anses som en fornuftig handling for å holde enheter som bærbare datamaskiner og smarttelefoner trygt, eller det var helt til forskere oppdaget et nytt triks som er praktisk talt uoppdagelig.

Mens de dissekerer nylig lappet Apple-feil som ble brukt til å installere Pegasus-spyware på spesifikke mål, sikkerhetsforskere fra Googles Project Zero har oppdaget en innovativ ny angrepsmekanisme de har kalt en "nullklikk-utnyttelse", som ingen mobilt antivirus kan folie.

"Hvis du ikke bruker en enhet, er det ingen måte å forhindre utnyttelse av en "null-klikk utnyttelse;" det er et våpen som det ikke er noe forsvar mot," hevdet

Google Project Zero-ingeniører Ian Beer og Samuel Groß i et blogginnlegg.

Frankensteins monster

Pegasus-spywaren er ideen til NSO Group, et israelsk teknologifirma som nå har vært det lagt til den amerikanske "Entity List," som i hovedsak blokkerer den fra det amerikanske markedet.

«Det er ikke klart hva en rimelig forklaring på personvern er på en mobiltelefon, der vi ofte ringer svært personlige på offentlige steder. Men vi forventer absolutt ikke at noen skal høre på telefonen vår, selv om det er det Pegasus lar folk gjøre," forklarte Saryu Nayyar, administrerende direktør i cybersikkerhetsselskapet Gurucul, i en e-post til Lifewire.

Pegasus-spyware kom i rampelyset i juli 2021, da Amnesty International avslørt at den ble brukt til å spionere på journalister og menneskerettighetsaktivister over hele verden.

Dette ble fulgt av en avsløring fra forskere ved Citizen Lab i august 2021, etter at de fant bevis på overvåking på iPhone 12 Pro av ni Bahraini-aktivister gjennom en utnyttelse som unngikk den nyeste sikkerhetsbeskyttelsen i iOS 14, samlet kjent som BlastDoor.

Faktisk har Apple sendt inn en søksmål mot NSO-konsernet, og holder den ansvarlig for å omgå iPhone-sikkerhetsmekanismer for å overvåke Apple-brukere via Pegasus-spyware.

«Statsstøttede aktører som NSO-gruppen bruker millioner av dollar på sofistikerte overvåkingsteknologier uten effektiv ansvarlighet. Det må endres," sa Craig Federighi, Apples senior visepresident for Software Engineering, i pressemeldingen om søksmålet.

I det todelte Google Project Zero-innlegget forklarte Beer og Groß hvordan NSO-gruppen fikk Pegasus-spyware til iPhones av målene bruker null-klikk-angrepsmekanismen, som de beskrev som både utrolige og skremmende.

En null-klikk-utnyttelse er akkurat hva det høres ut som – ofrene trenger ikke å klikke eller trykke på noe for å bli kompromittert. I stedet, bare å se en e-post eller melding med den fornærmende skadelige programvaren vedlagt, lar den installeres på enheten.

Imponerende og farlig

Ifølge forskerne begynner angrepet gjennom en ond melding på iMessage-appen. For å hjelpe oss å bryte ned den ganske komplekse angrepsmetodikken utviklet av hackerne, fikk Lifewire hjelp av uavhengig sikkerhetsforsker Devanand Premkumar.

Premkumar forklarte at iMessage har flere innebygde mekanismer for å håndtere animerte .gif-filer. En av disse metodene kontrollerer det spesifikke filformatet ved hjelp av et bibliotek kalt ImageIO. Hackerne brukte et "gif-triks" for å utnytte en svakhet i det underliggende støttebiblioteket, kalt CoreGraphics, for å få tilgang til mål-iPhone.

"Som sluttbrukere bør vi alltid være forsiktige med å åpne meldinger fra ukjente eller ikke-pålitelige kilder, uansett hvor fristende emne eller melding være, ettersom det blir brukt som det primære inngangspunktet til mobiltelefonen," sa Premkumar til Lifewire i en e-post.

Premkumar la til at den nåværende angrepsmekanismen bare er kjent for å fungere på iPhones da han gikk gjennom trinnene Apple har tatt for å fjerne den nåværende sårbarheten. Men mens det nåværende angrepet har blitt begrenset, har angrepsmekanismen åpnet Pandoras boks.

"Nullklikk-utnyttelser kommer ikke til å dø med det første. Det vil bli flere og flere slike null-klikk-utnyttelser testet og utplassert mot høyprofilerte mål for de sensitive og verdifulle dataene som kan trekkes ut fra slike utnyttede brukeres mobiltelefoner," sa Premkumar.

I mellomtiden, i tillegg til søksmålet mot NSO, har Apple besluttet å gi teknisk, trusseletterretning og teknisk assistanse til Citizen Lab-forskerne pro-bono og har lovet å tilby samme hjelp til andre organisasjoner som gjør kritisk arbeid i dette rom.

I tillegg har selskapet bidratt til 10 millioner dollar, samt alle skadene tildelt fra søksmålet for å støtte organisasjoner som er involvert i forkjemper og forskning innen cyberovervåking overgrep.