NSO Group, nhà sản xuất công cụ gián điệp Pegasus
Pegasus, phần mềm gián điệp được các chính phủ sử dụng để bí mật đột nhập vào iPhone của các nhà báo và đối thủ chính trị, đã sử dụng ba lỗ hổng không nhấp chuột ảnh hưởng đến iOS 15 và iOS 16 ở Mexico vào năm 2022.
NSO Group là nhà sáng tạo nổi tiếng của Pegasus, một công cụ giám sát được bán cho chính phủ và các cơ quan thực thi pháp luật trên khắp thế giới để theo dõi thiết bị của mọi người. Nổi tiếng được sử dụng để hack iPhone của các nhà hoạt động nhân quyền và nhà báo, phần mềm gián điệp này là mối đe dọa lớn đối với an ninh và quyền riêng tư của những người quan tâm đến khách hàng của NSO Group.
Mặc dù trước đây Pegasus bị phát hiện đang sử dụng các phương pháp khai thác không cần nhấp chuột để đánh bại khả năng bảo mật của iOS 14, nhưng Citizen Lab đã phát hiện các trường hợp có thêm ba lần khai thác không nhấp chuột nữa. Lần này, cả ba được sử dụng để xâm nhập vào iPhone chạy iOS 15 và iOS 16.
Nhóm đã tìm thấy những cách khai thác mới vào tháng 10 năm 2022, trong khuôn khổ cuộc điều tra với tổ chức nhân quyền kỹ thuật số Mexico Ren ed Defensa de Los Derechos Digitales. Kiểm tra iPhone được sử dụng bởi các nhà bảo vệ nhân quyền ở Mexico, ba lỗ hổng được phát hiện là những cách hoàn toàn mới mà Pegasus có thể lây nhiễm vào thiết bị.
Các cuộc tấn công được phát hiện trong một số trường hợp trùng với các sự kiện năm 2022 trong”Vụ án Ayotzinapa,”đề cập đến sự biến mất của các sinh viên phản đối các hoạt động tuyển dụng giáo viên vào năm 2015. Tổ chức nhân quyền Centro PRODH và các thành viên trợ giúp pháp lý của Mexico đã trở thành mục tiêu trong làn sóng lây nhiễm mới trong suốt năm 2022.
Ba lỗ hổng không cần nhấp chuột trên iPhone
Kẻ khai thác đầu tiên, có tên”FINDMYPWN”, được phát hiện là hoạt động trên iOS 15.5 và iOS 15.6 và sử dụng quy trình fmfd được liên kết với Find My. Khi quá trình thoát ra và khởi chạy lại, người ta nhận thấy rằng việc khai thác đã khiến một mục bị ghi và xóa bên trong thư mục bộ đệm được liên kết với Tìm của tôi.
Có tương đối ít thông tin được tiết lộ về việc khai thác, một phần vì nghiên cứu đang được tiến hành, nhưng cũng để tiếp tục nghiên cứu. Các chỉ số về sự lây nhiễm không được công bố vì Citizen Lab tin rằng NSO Group đang nỗ lực để tránh bị phát hiện và việc cung cấp các chi tiết như vậy sẽ hỗ trợ nhà sản xuất phần mềm gián điệp.
Khai thác thứ hai có tên là”PWNYOURHOME”là một khai thác hai giai đoạn không nhấp chuột, trong đó mỗi giai đoạn nhắm mục tiêu vào các quy trình khác nhau. Một sự cố daemon trong HomeKit đã được sử dụng trong giai đoạn đầu tiên, sau đó là tải xuống các hình ảnh PNG từ iMessage làm hỏng BlastDoor.
Không rõ cách thức khai thác thoát khỏi hộp cát BlastDoor, nhưng người ta biết rằng việc khai thác cuối cùng sẽ khởi chạy Pegasus thông qua mediaserverd.
CitizenLab đã tiết lộ vấn đề về HomeKit với Apple, sau đó đã đưa ra một bản sửa lỗi trong iOS 16.3.1.
Có vẻ như Chế độ khóa trong iOS cảnh báo người dùng về những nỗ lực tấn công iPhone bằng cách khai thác, bằng cách hiển thị thông báo rằng những nỗ lực đã được thực hiện để truy cập Trang chủ. Tuy nhiên, vì không có dấu hiệu nào cho thấy NSO đã ngừng triển khai khai thác, nên có thể NSO đã tìm ra cách tránh kích hoạt thông báo.
Sau khi phát hiện ra cả hai lỗ hổng, lỗ hổng thứ ba được phát hiện sau khi nhóm kiểm tra lại phân tích pháp y cho các trường hợp trước đó. Bắt đầu từ tháng 1 năm 2022 và ảnh hưởng đến iOS 15, quá trình khai thác được đặt tên là”LATENTIMAGE”do để lại”rất ít dấu vết”trên thiết bị.
Người ta tin rằng việc khai thác sử dụng Find My, mặc dù Citizen Lab không thể xác định liệu đó có phải là vectơ tấn công ban đầu hay không.
Mối đe dọa tiếp diễn
Pegasus tiếp tục là mối đe dọa, theo Citizen Lab, do diễn biến của các cuộc tấn công. Hai trong số ba lỗ hổng này là lỗ hổng zero-click đầu tiên mà nhóm quan sát thấy sử dụng hai bề mặt tấn công từ xa riêng biệt trên iPhone.
“Như chúng tôi đã lưu ý trong báo cáo này, những nỗ lực ngày càng tăng của Tập đoàn NSO nhằm ngăn chặn các nhà nghiên cứu và che giấu dấu vết lây nhiễm, mặc dù cuối cùng vẫn không thành công, nhấn mạnh những thách thức phức tạp của các loại điều tra này, bao gồm cả việc cân bằng việc công bố các chỉ số trong khi duy trì khả năng xác định các bệnh lây nhiễm trong tương lai,”Citizen Lab viết.
Đối với những người dùng có rủi ro cao, Citizen Lab đề nghị họ nên bật Chế độ khóa, do”chi phí phát sinh cho những kẻ tấn công tăng lên”.
