Len pohľad na túto správu by mohol ohroziť vaše zariadenie

Dodržiavanie osvedčených bezpečnostných postupov sa považuje za obozretný postup, aby sa zariadenia zachovali ako notebooky a smartfóny v bezpečí, alebo kým výskumníci neobjavili nový trik, ktorý je virtuálny nezistiteľné.

Ako rozoberajú nedávno opravené Chyba Apple, ktorá bola použitá na inštaláciu spywaru Pegasus na konkrétne ciele, výskumníci v oblasti bezpečnosti z projektu Google Zero objavila nový inovatívny mechanizmus útoku, ktorý nazvali „využitím nulového kliknutia“, ktorý žiadny mobilný antivírus nedokáže fólie.

„Skrátka nepoužívanie zariadenia, neexistuje spôsob, ako zabrániť zneužitiu pomocou „využitia s nulovým kliknutím“; je to zbraň, proti ktorej niet obrany,“ tvrdil

Inžinieri projektu Google Project Zero Ian Beer a Samuel Groß v blogovom príspevku.

Frankensteinova príšera

Spyware Pegasus je duchovným dieťaťom NSO Group, izraelskej technologickej firmy, ktorá je teraz pridané do amerického zoznamu entít“, ktorý ho v podstate blokuje z amerického trhu.

„Nie je jasné, čo je rozumné vysvetlenie súkromia na mobilnom telefóne, kde často robíme vysoko osobné hovory na verejných miestach. Ale určite neočakávame, že niekto bude počúvať náš telefón, hoci to je to, čo Pegasus ľuďom umožňuje,“ vysvetlil. Saryu Nayyar, generálny riaditeľ spoločnosti zaoberajúcej sa kybernetickou bezpečnosťou Gurucule-mailom na Lifewire.

Spyware Pegasus sa dostal do centra pozornosti v júli 2021, kedy Odhalila to Amnesty International že bol použitý na špehovanie novinárov a aktivistov za ľudské práva na celom svete.

Potom nasledoval a odhalenie od výskumníkov z Citizen Lab v auguste 2021, keď našli dôkazy o sledovaní deviatich bahrajnských aktivistov na iPhone 12 Pro prostredníctvom exploitu, ktorý sa vyhol najnovšej bezpečnostnej ochrane v systéme iOS 14 súhrnne známej ako BlastDoor.

V skutočnosti spoločnosť Apple podala a žaloba proti skupine NSO, ktorá ho berie na zodpovednosť za obchádzanie bezpečnostných mechanizmov iPhonu s cieľom sledovať používateľov Apple prostredníctvom spywaru Pegasus.

„Štátom podporovaní aktéri ako NSO Group míňajú milióny dolárov na sofistikované sledovacie technológie bez efektívnej zodpovednosti. To sa musí zmeniť,“ povedal Craig Federighi, senior viceprezident pre softvérové ​​inžinierstvo spoločnosti Apple, v tlačovej správe o žalobe.

V dvojdielnom príspevku Google Project Zero Beer a Groß vysvetlili, ako skupina NSO dostala spyware Pegasus na iPhony cieľov pomocou mechanizmu nulového kliknutia, ktorý opísali ako neuveriteľný a zároveň desivý.

Zneužitie nulového kliknutia je presne to, čo znie – obete nemusia nič klikať ani klepať, aby boli kompromitované. Namiesto toho jednoduché zobrazenie e-mailu alebo správy s pripojeným škodlivým malvérom umožňuje jeho inštaláciu do zariadenia.

Pôsobivé a nebezpečné

Podľa vedcov sa útok začína prostredníctvom hanebnej správy v aplikácii iMessage. Aby nám pomohol prelomiť pomerne zložitú metodológiu útokov, ktorú navrhli hackeri, Lifewire požiadal o pomoc nezávislého bezpečnostného výskumníka. Devanand Premkumar.

Premkumar vysvetlil, že iMessage má niekoľko vstavaných mechanizmov na spracovanie animovaných súborov .gif. Jedna z týchto metód kontroluje špecifický formát súboru pomocou knižnice s názvom ImageIO. Hackeri použili „gif trik“ na využitie slabiny v základnej podpornej knižnici s názvom CoreGraphics, aby získali prístup k cieľovému iPhone.

„Ako koncoví používatelia by sme mali byť vždy opatrní pri otváraní správ z neznámych alebo nedôveryhodných zdrojov, bez ohľadu na to, aké lákavé sú predmet alebo správa, pretože sa používa ako primárny vstupný bod do mobilného telefónu,“ odporučil Premkumar Lifewire v email.

Premkumar dodal, že o súčasnom mechanizme útoku je známe, že funguje iba na telefónoch iPhone, keď prešiel krokmi, ktoré spoločnosť Apple podnikla na obranu proti súčasnej zraniteľnosti. Ale zatiaľ čo súčasný útok bol obmedzený, mechanizmus útoku otvoril Pandorinu skrinku.

„Využitie nulového kliknutia tak skoro nezomrie. Takýchto exploitov s nulovým kliknutím bude testovaných a nasadených proti vysokoprofilovým cieľom stále viac citlivé a cenné údaje, ktoré možno získať z mobilných telefónov takto zneužívaných používateľov,“ povedal Premkumar.

Medzitým sa Apple okrem žaloby proti NSO rozhodol poskytnúť technickú pomoc, spravodajské informácie o hrozbách a inžiniersku pomoc výskumníkom Citizen Lab pro-bono a prisľúbil, že rovnakú pomoc ponúkne aj iným organizáciám, ktoré v tejto veci vykonávajú zásadnú prácu priestor.

Okrem toho spoločnosť prispela do výšky 10 miliónov dolárov, ako aj na všetky škody ocenený zo súdneho sporu na podporu organizácií zapojených do presadzovania a výskumu kybernetického dohľadu zneužívania.