Apple har släppt en brådskande säkerhetsuppdatering för Mac-, iPhone-, iPad- och Watch-användare efter att forskare med Citizen Lab upptäckte ett noll-dagars nollklick-utnyttjande från legosoldatspionprogramföretaget NSO Group som ger angripare full tillgång till en enhets kamera, mikrofon, meddelanden , sms, mejl, samtal och mer.
Citizen Lab sa i en rapport att sårbarheten-märkt som CVE-2021-30860-påverkar alla iPhones med iOS-versioner före 14.8, alla Mac-datorer med operativsystemversioner före OSX Big Sur 11.6, säkerhetsuppdatering 2021-005 Catalina och alla Apple -klockor före watchOS 7.6.2.
Apple tillade att det påverkar alla iPad Pro -modeller, iPad Air 2 och senare, iPad 5: e generationen och senare, iPad mini 4 och senare och iPod touch 7: e generation.
CVE-2021-30860 tillåter kommandon att köras när filer öppnas på vissa enheter. Citizen Lab noterade att sårbarheten skulle ge hackare tillgång utan att offret ens klickade på någonting. Citizen Lab visade tidigare att förtryckande regeringar i Bahrain, Saudiarabien med flera hade använt NSO -gruppens verktyg för att spåra regeringskritiker, aktivister och politiska motståndare.
Ivan Krstić, chef för Apple Security Engineering and Architecture, berättade för ZDNet att efter att ha identifierat den sårbarhet som används av detta utnyttjande för iMessage, Apple “snabbt utvecklat och implementerat en fix i iOS 14.8 för att skydda våra användare.”
“Vi skulle vilja berömma Citizen Lab för att han framgångsrikt har slutfört det mycket svåra arbetet med att få ett prov på denna exploatering så att vi snabbt kan utveckla den här åtgärden. Attacker som de som beskrivs är mycket sofistikerade, kostar miljontals dollar att utveckla, har ofta en kort hållbarhet och används för att rikta in specifika individer, säger Krstić.
“Även om det betyder att de inte är ett hot mot den överväldigande majoriteten av våra användare, fortsätter vi att arbeta outtröttligt för att försvara alla våra kunder, och vi lägger hela tiden till nya skydd för deras enheter och data.” < /p>
John Scott-Railton, en senior forskare på Citizen Lab, uttalade sig på Twitter för att förklara vad han och Citizen Lab senior forskare Bill Marczak hittade och rapporterade till Apple. De fann att sårbarheten har använts sedan minst februari. Apple krediterade dem för att ha upptäckt det.
“Redan i mars undersökte min kollega Bill Marczak telefonen till en saudisk aktivist som var infekterad med Pegasus-spionprogram. Bill gjorde en säkerhetskopia då. En ny analys gav en intressant: konstiga” .gif “-filer. Saken är, “.gif” -filerna … var faktiskt Adobe PSD- och PDF -filer … och utnyttjade Apples bildåtergivningsbibliotek. Resultat? Tyst exploatering via iMessage. Offret ser * ingenting *, medan Pegasus är tyst installerat och deras enhet blir en spion i fickan “, förklarade Scott-Railton.
“NSO Group säger att deras spionprogram endast är riktat mot kriminella och terrorister. Men här är vi … igen: deras bedrifter upptäcktes av oss eftersom de användes mot en aktivist. Upptäckten är oundviklig biprodukt av att sälja spionprogram till hänsynslösa despoter. Populärt chattappar är den mjuka underlivet för enhetssäkerhet. De finns på varje enhet och vissa har en onödigt stor attackyta. Deras säkerhet måste ha en * topp * prioritet. “
I en längre rapport om sårbarheten , Sa Citizen Lab-forskare att det är “det senaste i en rad nollklick-exploater kopplade till NSO Group.”
NSO Group har mött betydande motreaktioner globalt efter att forskare upptäckt att regeringar, kriminella och andra använde sin Pegasus -spionprogram för att tyst spåra tusentals journalister, forskare, dissidenter och till och med världsledare.
“År 2019 fixade WhatsApp CVE-2019-3568, en sårbarhet med nollklick i WhatsApp-samtal som NSO Group använde mot mer än 1 400 telefoner under en tvåveckorsperiod under vilken den observerades, och i 2020 använde NSO Group KISMET iMessage-exploateringen med nollklick, säger forskarna.
De sa att deras senaste upptäckt “ytterligare illustrerar att företag som NSO Group underlättar” despotism-as-a-service “för oansvariga statliga säkerhetsbyråer.”
“Reglering av denna växande, mycket lönsamma och skadliga marknadsplats är desperat nödvändig”, tillade de.
Reuters rapporterade att sedan oron för NSO Group togs upp offentligt tidigare i år har FBI och andra statliga myndigheter runt om i världen inlett utredningar av deras verksamhet. NSO Group är baserat i Israel, vilket får regeringen att starta sin egen utredning av företaget.
Företaget designade verktyg för att specifikt komma runt Apples BlastDoor -försvar som implementerades i iMessage för att skydda användare.
Ryan Polk, senior policyrådgivare för Internet Society, sa till ZDNet att Pegasus-NSO-fallet är en bevisning för de allvarliga konsekvenserna av krypteringsdörrar.
“Verktygen som är byggda för att bryta krypterad kommunikation riskerar i sig att hamna i fel händer – vilket sätter alla som litar på kryptering i större fara. Föreställ dig en värld där verktyg som Pegasus kommer inbyggda i varje app eller enhet – men till skillnad från nu , företag har ingen möjlighet att ta bort dem och alla användare är riktade, säger Polk.
“End-to-end-kryptering håller alla säkra, särskilt de från utsatta samhällen-som journalister, aktivister och HBTQ+ -medlemmar i mer konservativa länder.”
2016 arbetade cybersäkerhetsföretaget Lookout med Citizen Lab för att upptäcka Pegasus. Hank Schless, chef för säkerhetslösningar på Lookout, sa att verktyget har fortsatt att utvecklas och ta nya funktioner.
Det kan nu distribueras som ett nollklick-utnyttjande, vilket innebär att målanvändaren inte ens behöver trycka på en skadlig länk för att övervakningsprogrammet ska installeras, förklarade Schless och tillade att medan skadlig programvara har justerat sina leveransmetoder förblir den grundläggande exploateringskedjan densamma.
“Pegasus levereras via en skadlig länk som har utvecklats socialt till målet, sårbarheten utnyttjas och enheten äventyras, sedan kommuniceras skadlig programvara tillbaka till en kommando-och-kontroll (C2) -server som ger angriparen fri regering över enhet. Många appar skapar automatiskt en förhandsvisning eller cacheminne av länkar för att förbättra användarupplevelsen, säger Schless.
“Pegasus utnyttjar den här funktionen för att tyst infektera enheten.”
Han tillade att NSO har fortsatt att hävda att spionprogrammet bara säljs till en handfull underrättelsetjänster inom länder som har granskats för brott mot mänskliga rättigheter. Men den senaste exponeringen av 50 000 telefonnummer kopplade till mål för NSO -gruppens kunder var alla människor som behövdes för att se igenom vad NSO påstår, tillade han.
“Detta exemplifierar hur viktigt det är för både individer och företagsorganisationer att ha insyn i de risker deras mobila enheter medför. Pegasus är ett extremt men lättbegripligt exempel. Det finns otaliga bitar av skadlig kod där ute som enkelt kan utnyttja känd enhet och programvara sårbarheter för att få tillgång till dina mest känsliga data, säger Schless till ZDNet.
Säkerhet
T-Mobile-hack: Allt du behöver veta Surfshark VPN-recension: Det är billigt, men är det bra? De bästa webbläsarna för integritet Cybersäkerhet 101: Skydda din integritet De bästa antivirusprogrammen och apparna De bästa VPN -tjänsterna för företag och hemanvändning De bästa säkerhetsnycklarna för 2FA Ransomware -hotet växer: Vad måste hända för att stoppa attacker som blir värre? (ZDNet YouTube)
Relaterade ämnen:
Government iPhone Hardware Mobility Smartphones Tablets 