ניצול iMessage בלחיצת אפס שימש להתקנת תוכנת הריגול של פגסוס בסמארטפונים של עיתונאים ואנשים בעלי פרופיל גבוה אחרים.
אפל אוהבת להציג כיצד האייפון שלה הוא הסמארטפון המאובטח ביותר על פני כדור הארץ. לאחרונה הם דיברו על כך שהסמארטפונים שלהם הם "המכשיר הנייד הצרכני המאובטח ביותר בשוק"... מיד לאחר שחוקרים גילו ניצול iMessage בלחיצת אפס המשמשת לריגול אחר עיתונאים ברחבי העולם.
אמנסטי אינטרנשיונלפרסם דו"ח יום אחר זה היה ביקורת עמיתים על ידי מעבדת אזרח, והדוח אישר כי פגסוס - ה קבוצת NSOתוכנת ריגול - הותקנה בהצלחה במכשירים באמצעות ניצול iMessage של אפס יום, ללא קליקים. החוקרים גילו את התוכנה הזדונית הפועלת במכשיר iPhone 12 Pro Max הפועל ב-iOS 14.6, אייפון SE2 עם iOS 14.4, ואייפון SE2 עם iOS 14.0.1. המכשיר המריץ את iOS 14.0.1 לא דרש יום אפס לְנַצֵל.
בשנה שעברה, הופעל ניצול דומה (המכונה KISMET) שהיה בשימוש במכשירי iOS 13.x, והחוקרים ב- מעבדת אזרח ציין כי KISMET שונה מהותית מטכניקות המופעלות על ידי פגסוס כיום ב-iOS 14. פגסוס קיים כבר הרבה זמן והיה תועד לראשונה ב-2016 כאשר נמצא שהוא מנצל שלוש נקודות תורפה של יום אפס באייפון, אם כי אז, זה היה פחות מתוחכם מכיוון שהקורבן עדיין היה צריך ללחוץ על הקישור שנשלח.
הוושינגטון פוסט מְפוֹרָט איך עבדה שיטת הניצול החדשה כשהיא הדביקה את האייפון 11 של קלוד מנגין, אשתו הצרפתייה של פעיל פוליטי שנכלא במרוקו. כאשר הטלפון שלה נבדק, לא ניתן היה לזהות אילו נתונים הוצאו ממנו, אך הפוטנציאל להתעללות היה חריג בכל זאת. תוכנת פגסוס ידועה כאסוף מיילים, רישומי שיחות, פוסטים במדיה חברתית, סיסמאות משתמשים, רשימות אנשי קשר, תמונות, סרטונים, הקלטות קול והיסטוריית גלישה. הוא יכול להפעיל מצלמות ומיקרופונים, הוא יכול להאזין לשיחות והודעות קוליות, והוא יכול אפילו לאסוף יומני מיקום.
במקרה של מנגין, וקטור ההתקפה היה דרך משתמש Gmail העונה לשם "Linakeller2203". מנגין לא ידעה על שם המשתמש הזה, והטלפון שלה נפרץ מספר פעמים עם פגסוס בין אוקטובר 2020 ליוני 2021. מספר הטלפון של מנגין היה ברשימה של יותר מ-50,000 מספרי טלפון מיותר מ-50 מדינות, שנבדקו על ידי הוושינגטון פוסט ועוד מספר ארגוני חדשות. קבוצת NSO אומרת שהיא נותנת רישיון לכלי באופן בלעדי לסוכנויות ממשלתיות על מנת להילחם בטרור ואחרים פשעים חמורים, אם כי נמצאו אינספור עיתונאים, דמויות פוליטיות ופעילים בעלי פרופיל גבוה. רשימה.
הוושינגטון פוסט גַם מצאתי כי 1,000 מספרי טלפון בהודו הופיעו ברשימה. 22 סמארטפונים שהושגו ונותחו משפטית בהודו גילו ש-10 היו ממוקדים עם פגסוס, שבעה מהם בהצלחה. שמונה מתוך 12 מכשירים שהחוקרים לא יכלו לקבוע שנפגעו היו סמארטפונים אנדרואיד. בעוד שנראה ש-iMessage היא הדרך הפופולרית ביותר להדביק קורבן, יש גם דרכים אחרות.
מעבדת האבטחה ב אמנסטי אינטרנשיונל בדק 67 סמארטפונים שמספרם ברשימה ומצא עדויות משפטיות לזיהומים או ניסיונות הדבקה ב-37 מהם. 34 מהם היו מכשירי אייפון, ו-23 הראו סימנים להדבקה מוצלחת. 11 הראו סימנים של ניסיון הדבקה. רק שלושה מתוך 15 סמארטפונים של אנדרואיד שנבדקו הראו עדויות לניסיון, אם כי החוקרים ציינו שזה יכול להיות בגלל העובדה שהיומנים של אנדרואיד לא היו כל כך מקיפים.
במכשירי iOS, ההתמדה אינה נשמרת, ואתחול מחדש הוא דרך להסיר זמנית את תוכנת Pegasus. על פני השטח, זה נראה כמו דבר טוב, אבל זה גם מקשה על זיהוי התוכנה. ביל מרזק מ מעבדת אזרח לקח לטוויטר כדי להסביר כמה חלקים נוספים בפירוט, כולל הסבר כיצד תוכנת הריגול של פגסוס אינה פעילה עד שהתקפת אפס קליק מופעלת לאחר אתחול מחדש.
איבן קרסטיץ', ראש הנדסת אבטחה וארכיטקטורה של אפל, מסר הצהרה המגינה על מאמציה של אפל.
"אפל מגנה באופן חד משמעי מתקפות סייבר נגד עיתונאים, פעילי זכויות אדם ואחרים המבקשים להפוך את העולם למקום טוב יותר. במשך למעלה מעשור, אפל הובילה את התעשייה בחדשנות אבטחה, וכתוצאה מכך, חוקרי אבטחה מסכימים שאייפון הוא המכשיר הנייד הצרכני הבטוח והמאובטח ביותר בשוק," הוא אמר בהצהרה. "התקפות כמו אלו המתוארות הן מתוחכמות ביותר, עולות מיליוני דולרים לפיתוח, לעיתים קרובות יש להן חיי מדף קצרים, והן משמשות למטרת אנשים ספציפיים. למרות שזה אומר שהם לא מהווים איום על הרוב המכריע של המשתמשים שלנו, אנחנו ממשיכים לעבוד ללא לאות להגן על כל הלקוחות שלנו, ואנחנו כל הזמן מוסיפים הגנות חדשות למכשירים שלהם נתונים."
אפל הציגה אמצעי אבטחה המכונה "BlastDoor" כחלק מ-iOS 14. זה ארגז חול שנועד למנוע מתקפות כמו פגסוס להתרחש. BlastDoor מקיפה ביעילות את iMessage ומנתח את כל הנתונים שאינם מהימנים בתוכו, תוך מניעת אינטראקציה עם שאר המערכת. יומני טלפון נצפו על ידי מעבדת אזרח מראים כי הניצולים שנפרסו על ידי NSO Group כללו את ImageIO, במיוחד בניתוח של תמונות JPEG ו-GIF. "ל-ImageIO היו יותר מתריסר באגים בחומרה גבוהה שדווחו נגדה בשנת 2021", ביל מרזק הסביר בטוויטר.
זהו סיפור מתפתח, וסביר להניח שאפל תדחוף בקרוב עדכון שיתקן את הניצול של פגסוס באפליקציות כמו iMessage. אירועים מסוג זה מדגישים את החשיבות של עדכוני אבטחה חודשיים, ומדוע תמיד חשוב להתקין את האחרונים.