Într-un nou raport publicat ieri de Citizen Lab de la Universitatea din Toronto, cercetătorii au afirmat că telefoanele personale a 36 de jurnaliști, producători, prezentatori TV și directori de la Al Jazeera și un jurnalist de la Al Araby TV din Londra au fost infectați cu malware-ul Pegasus prin intermediul unei erori din Apple iMessage, între timp corectată.

Iată un sumar al atacului și principalele elemente:

  • În iulie și august 2020, agenții guvernamentali au folosit spyware-ul Pegasus al NSO Group pentru a pirata 36 de telefoane personale aparținând jurnaliștilor, producătorilor, prezentatorilor TV și directorilor de la Al Jazeera. Telefonul personal al unui jurnalist de la Al Araby TV, cu sediul în Londra, a fost, de asemenea, piratat.
  • Telefoanele au fost compromise folosind un exploit chain numit KISMET, care pare să implice un exploit invizibil cu zero-clic din iMessage. În iulie 2020, KISMET a fost un zero-day împotriva a cel puțin versiunii 13.5.1 a iOS și ar putea pirata și ultimul iPhone 11 al Apple.
  • Pe baza jurnalelor de pe telefoanele compromise, specialiștii presupun că clienții Grupului NSO au implementat cu succes KISMET sau un alt exploit zero-clic, zero-day, în perioada octombrie – decembrie 2019.
  • Jurnaliștii au fost hack-uiți de patru operatori Pegasus, inclusiv un operator MONARCHY pe care specialiștii îl atribuie Arabiei Saudite și un operator SNEAKY KESTREL pe care îl atribuie Emiratelor Arabe Unite.
  • Specialiștii nu cred că KISMET funcționează asupra versiunilor 14 și ulterioare ale iOS, care includ noi protecții de securitate. Toți proprietarii de dispozitive iOS ar trebui să le actualizeze imediat la cea mai recentă versiune a sistemului de operare.
  • Având în vedere acoperirea globală a bazei de clienți a NSO Group și vulnerabilitatea aparentă a aproape tuturor dispozitivelor iPhone care funcționează cu versiuni anterioare ale iOS 14, bănuim că infecțiile pe care le-am observat au fost o fracțiune minusculă din totalul atacurilor care valorifică acest exploit.
  • Infrastructura utilizată în aceste atacuri a inclus servere în Germania, Franța, Marea Britanie și Italia, folosind furnizorii de cloud Aruba, Choopa, CloudSigma și DigitalOcean.
  • Specialiștii Citizen Lab au împărtășit concluziile lor cu Apple și au primit confirmarea că se analizează problema.

Detalii despre modul în care s-a derulat atacul puteți afla de pe site-ul Citizen Lab.