Ključni izsledki
- Pri analizi vohunskega škandala, ki ga je odkril Citizen Lab, so Googlovi varnostni raziskovalci odkrili nov mehanizem napada, znan kot zero-click exploit.
- Tradicionalna varnostna orodja, kot je protivirusni program, ne morejo preprečiti izkoriščanja brez klika.
- Apple je ustavil enega, vendar se raziskovalci bojijo, da bo v prihodnosti še več izkoriščanj brez klikov.
Upoštevanje najboljših varnostnih praks velja za preudaren način ukrepanja za ohranjanje varnosti naprav, kot so prenosniki in pametni telefoni, ali pa je bilo tako, dokler raziskovalci niso odkrili novega trika, ki ga skoraj ni mogoče zaznati.
Ko razčlenjujejo nedavno popravljeno napako Apple, ki je bila uporabljena za namestitev vohunske programske opreme Pegasus na določene tarče, so raziskovalci varnosti iz Googlovega projekta Zero odkrili nov inovativen mehanizem napada, ki so ga poimenovali "izkoriščanje brez klika, " ki ga noben mobilni protivirusni program ne more preprečiti.
"Razen neuporabe naprave ni nobenega načina, da bi preprečili izkoriščanje z "izkoriščanjem brez klika"; to je orožje, pred katerim ni obrambe, « sta v objavi na blogu trdila inženirja Google Project Zero Ian Beer in Samuel Groß.
Frankensteinova pošast
Vohunska programska oprema Pegasus je zamisel skupine NSO, izraelskega tehnološkega podjetja, ki je zdaj dodano na ameriški "seznam subjektov", ki ga v bistvu blokira na ameriškem trgu.
Ni jasno, kakšna je razumna razlaga zasebnosti na mobilnem telefonu, kjer pogosto opravljamo zelo osebne klice na javnih mestih. Vsekakor pa ne pričakujemo, da bo nekdo poslušal naš telefon, čeprav je to tisto, Pegasus ljudem omogoča, da delajo, « je pojasnil Saryu Nayyar, izvršni direktor podjetja za kibernetsko varnost Gurucul, v e-pošti za Lifewire.
Kot končni uporabniki moramo biti vedno previdni pri odpiranju sporočil iz neznanih ali nezaupljivih virov, ne glede na to, kako vabljiva je zadeva ali sporočilo…
Vohunska programska oprema Pegasus je prišla v središče pozornosti julija 2021, ko je Amnesty International razkrila, da je bila uporabljena za vohunjenje za novinarji in aktivisti za človekove pravice po vsem svetu.
Temu je avgusta 2021 sledilo razkritje raziskovalcev pri Citizen Lab, potem ko so odkrili dokaze o nadzoru devetih bahrajnskih aktivistov na iPhone 12 Pro z izkoriščanjem, ki se je izognilo najnovejšim varnostnim zaščitam v sistemu iOS 14, skupaj znanim kot BlastDoor.
Pravzaprav je Apple vložil tožbo proti skupini NSO, ki jo smatra za odgovorno za izogibanje varnostnim mehanizmom iPhone za nadzor nad uporabniki Apple prek svoje vohunske programske opreme Pegasus.
"Državno sponzorirani akterji, kot je skupina NSO, porabijo milijone dolarjev za sofisticirane tehnologije nadzora brez učinkovite odgovornosti. To se mora spremeniti," je v sporočilu za javnost o tožbi dejal Craig Federighi, Appleov višji podpredsednik programskega inženiringa.
V dvodelni objavi Google Project Zero sta Beer in Groß razložila, kako je skupina NSO spravila vohunsko programsko opremo Pegasus na iPhone tarč z uporabo mehanizma napada brez klika, ki sta ga opisala kot neverjetnega in grozljivega.
Izkoriščanje brez klika je natanko tako, kot se sliši – žrtvam ni treba ničesar klikniti ali tapniti, da bi bili ogroženi. Namesto tega preprosto ogledovanje e-pošte ali sporočila s priloženo zlonamerno programsko opremo omogoča namestitev v napravo.
Impresivno in nevarno
Po mnenju raziskovalcev se napad začne prek zlobnega sporočila v aplikaciji iMessage. Da bi nam pomagal razbiti precej zapleteno metodologijo napada, ki so jo razvili hekerji, je Lifewire za pomoč pridobil neodvisnega varnostnega raziskovalca Devananda Premkumarja.
Premkumar je pojasnil, da ima iMessage več vgrajenih mehanizmov za obdelavo animiranih datotek.gif. Ena od teh metod preveri določeno obliko datoteke z uporabo knjižnice z imenom ImageIO. Hekerji so uporabili '-g.webp;
Kot končni uporabniki moramo biti vedno previdni pri odpiranju sporočil iz neznanih ali nezaupljivih virov, ne glede na to, kako vabljiva je zadeva ali sporočilo, saj se to uporablja kot primarna vstopna točka v mobilni telefon, « je Premkumar svetoval Lifewire v e-pošti.
Premkumar je dodal, da je znano, da trenutni napadalni mehanizem deluje samo na telefonih iPhone, ko je pregledal korake, ki jih je Apple sprejel za odpravo trenutne ranljivosti. Čeprav je bil trenutni napad omejen, je mehanizem napada odprl Pandorino skrinjico.
Izkoriščanja brez klika še ne bodo kmalu izginila. Vse več bo takšnih izkoriščanj brez klikov, testiranih in uporabljenih proti visoko profiliranim tarčam za občutljive in dragocene podatke, ki jih je mogoče pridobiti iz mobilnih telefonov tako izkoriščanih uporabnikov, «je dejal Premkumar.
Medtem se je Apple poleg tožbe proti NSO odločil, da bo raziskovalcem Citizen Lab zagotovil tehnično pomoč, pomoč pri obveščanju o grožnjah in inženiring pro-bono ter obljubil, da bo ponudil enako pomoč drugim organizacijam, ki opravljajo kritično delo v tem prostoru.
Poleg tega je podjetje prispevalo 10 milijonov dolarjev, kot tudi vso odškodnino, dodeljeno iz tožbe, za podporo organizacijam, ki se ukvarjajo z zagovarjanjem in raziskovanjem zlorab kibernetskega nadzora.
