Že samo pogled na to sporočilo bi lahko ogrozil vašo napravo

Upoštevanje najboljših varnostnih praks velja za preudarno ravnanje pri ohranjanju naprav, kot so prenosni računalniki in pametni telefoni varni, oziroma je bilo vse dokler raziskovalci niso odkrili novega trika, ki je virtualno nezaznavno.

Ko secirajo nedavno popravljeno Apple hrošča, ki je bila uporabljena za namestitev vohunske programske opreme Pegasus na določene cilje, varnostni raziskovalci iz Googlovega projekta Zero so odkrili inovativen nov mehanizem napada, ki so ga poimenovali "izkoriščanje brez klikov", ki ga ne more noben mobilni protivirusni program folijo.

»Če ne uporabljate naprave, ni mogoče preprečiti izkoriščanja z »izkoriščanjem brez klikov;« to je orožje, pred katerim ni obrambe,« je trdil

Inženirja Google Project Zero Ian Beer in Samuel Groß v objavi na blogu.

Frankensteinova pošast

Vohunska programska oprema Pegasus je zamisel skupine NSO, izraelskega tehnološkega podjetja, ki je zdaj dodano na ameriški seznam entitet", ki ga v bistvu blokira na ameriškem trgu.

"Ni jasno, kakšna je razumna razlaga zasebnosti na mobilnem telefonu, kjer pogosto opravljamo zelo osebne klice na javnih mestih. Zagotovo pa ne pričakujemo, da bo nekdo prisluhnil našemu telefonu, čeprav Pegasus ljudem to omogoča,« je pojasnil Saryu Nayyar, izvršni direktor podjetja za kibernetsko varnost Gurukul, v e-poštnem sporočilu Lifewire.

Vohunska programska oprema Pegasus je prišla v središče pozornosti julija 2021, ko je Razkril Amnesty International da je bil uporabljen za vohunjenje za novinarji in aktivisti za človekove pravice po vsem svetu.

Temu je sledil a razkritje raziskovalcev v laboratoriju Citizen Lab avgusta 2021, potem ko so na iPhonu 12 Pro našli dokaze o nadzoru devetih bahrajnskih aktivistov z izkoriščanjem, ki se je izognilo najnovejšim varnostnim zaščitam v sistemu iOS 14, ki je skupno znan kot BlastDoor.

Pravzaprav je Apple vložil a tožba proti skupini NSO, zaradi česar je odgovoren za izogibanje varnostnim mehanizmom iPhone za nadzor nad Appleovim uporabnikom prek svoje vohunske programske opreme Pegasus.

"Državno sponzorirani akterji, kot je skupina NSO, porabijo milijone dolarjev za sofisticirane tehnologije nadzora brez učinkovite odgovornosti. To se mora spremeniti," je dejal Craig Federighi, Applov višji podpredsednik programskega inženiringa, v sporočilu za javnost o tožbi.

Beer in Groß sta v dvodelnem prispevku Google Project Zero razložila, kako je skupina NSO vnesla vohunsko programsko opremo Pegasus v IPhone tarč, ki uporabljajo mehanizem napada brez klikov, ki so ga opisali kot neverjetno in grozljivo.

Izkoriščanje brez klikov je točno tako, kot se sliši – žrtvam ni treba ničesar klikniti ali tapniti, da bi bile ogrožene. Namesto tega preprosto ogled e-pošte ali sporočila s priloženo škodljivo zlonamerno programsko opremo omogoča njeno namestitev v napravo.

Impresivno in nevarno

Po mnenju raziskovalcev se napad začne z zlobnim sporočilom v aplikaciji iMessage. Da bi nam pomagal razbiti precej zapleteno metodologijo napada, ki so jo zasnovali hekerji, je Lifewire zaprosil za pomoč neodvisnega raziskovalca varnosti Devanand Premkumar.

Premkumar je pojasnil, da ima iMessage več vgrajenih mehanizmov za obdelavo animiranih datotek .gif. Ena od teh metod preveri določeno obliko datoteke s pomočjo knjižnice z imenom ImageIO. Hekerji so uporabili 'gif trik', da bi izkoristili slabost v osnovni knjižnici podpore, imenovani CoreGraphics, da bi pridobili dostop do ciljnega iPhone-a.

"Kot končni uporabniki bi morali biti vedno previdni pri odpiranju sporočil iz neznanih ali nezaupanja vrednih virov, ne glede na to, kako vabljivi so Zadeva ali sporočilo naj bo, saj se to uporablja kot primarna vstopna točka v mobilni telefon,« je Premkumar svetoval Lifewire v E-naslov.

Premkumar je dodal, da je znano, da trenutni mehanizem napadov deluje samo na iPhonih, ko je opravil korake, ki jih je Apple sprejel za odpravo trenutne ranljivosti. Medtem ko je bil trenutni napad omejen, je mehanizem napada odprl Pandorino skrinjico.

"Izkoriščanja brez klikov ne bodo kmalu umrla. Vse več bo takih izkoriščanj brez klikov, ki bodo testirani in uporabljeni proti odmevnim ciljem za občutljive in dragocene podatke, ki jih je mogoče pridobiti iz mobilnih telefonov tako izkoriščanih uporabnikov,« je dejal Premkumar.

Medtem se je Apple poleg tožbe proti NSO odločil zagotoviti tehnično pomoč, obveščanje o grožnjah in inženirsko pomoč raziskovalcem Citizen Lab pro-bono in je obljubil, da bo ponudil enako pomoč drugim organizacijam, ki opravljajo kritično delo na tem področju. prostor.

Poleg tega je podjetje prispevalo 10 milijonov dolarjev in vso škodo dodeljeno iz tožbe za podporo organizacijam, ki se ukvarjajo z zagovarjanjem in raziskavami kibernetskega nadzora zlorabe.