Σύμφωνα με το Citizen Lab, δύο zero-days στο iMessage που καθορίστηκαν από την Apple σε ενημερώσεις ασφαλείας έκτακτης ανάγκης, καταχράστηκαν ενεργά ως μέρος μιας αλυσίδας Zero-click exploit για την ανάπτυξη του εμπορικού spyware Pegasus σε πλήρως ενημερωμένα iPhone.

Δείτε επίσης: Το iMessage απαλλάσσεται από τη νομοθεσία της ΕΕ

Το Pegasus είναι ένα ιδιαίτερα εξελιγμένο spyware που αναπτύχθηκε από τον Ομίλο NSO, μια εταιρεία με έδρα το Ισραήλ. Με την ικανότητα να εκμεταλλεύεται zero-days και να μολύνει συσκευές χωρίς καμία αλληλεπίδραση από τον χρήστη, το Pegasus είναι ένα από τα πιο δυνατά και κρυφά εργαλεία παρακολούθησης που έχουν δημιουργηθεί ποτέ. Μόλις μολυνθεί μια συσκευή, το Pegasus μπορεί να καταγράψει συνομιλίες, να αποκτήσει πρόσβαση σε μηνύματα κειμένου, να αποκρύψει εικόνες και να ενεργοποιήσει από μακριά την κάμερα και το μικρόφωνο της συσκευής.

Δύο ευπάθειες, που αναγνωρίστηκαν ως CVE-2023-41064 και CVE-2023-41061, επιτρέπουν σε εισβολείς να μολύνουν ένα πλήρως ενημερωμένο iPhone με iOS 16.6. Το περιστατικό συνέβη σε μια οργάνωση της κοινωνίας των πολιτών με έδρα την Ουάσιγκτον, μέσω κακόβουλων εικόνων που ενσωματώθηκαν στο PassKit.

“Αναφερόμαστε στην αλυσίδα εκμετάλλευσης ως BLASTPASS. Η αλυσίδα εκμετάλλευσης ήταν σε θέση να παραβιάσει τα iPhone που εκτελούσαν την πιο πρόσφατη έκδοση του iOS (16.6) χωρίς καμία αλληλεπίδραση από το θύμα“, δήλωσε το Citizen Lab.

“Η εκμετάλλευση αφορούσε συνημμένα PassKit που περιείχαν κακόβουλες εικόνες που αποστέλλονται από έναν λογαριασμό iMessage από τον εισβολέα στο θύμα.“

Το Citizen Lab προέτρεψε τους πελάτες της Apple να ενημερώσουν αμέσως τις συσκευές τους και ενθάρρυνε όσους κινδυνεύουν από στοχευμένες επιθέσεις λόγω της ταυτότητάς τους ή του επαγγέλματός τους να ενεργοποιήσουν τη λειτουργία κλειδώματος.

Οι ερευνητές ασφαλείας της Apple και του Citizen Lab ανακάλυψαν ευπάθειες στις βιβλιοθήκες Image I/O και Wallet τις προηγούμενες δύο ημέρες.

Δείτε ακόμα:
Reddit: Βελτιώνει την κοινή χρήση περιεχομένου στο iMessage

Το CVE-2023-41064 είναι ένα buffer overflow που ενεργοποιείται κατά την επεξεργασία εικόνων που έχουν δημιουργηθεί με κακόβουλο τρόπο, ενώ το CVE-2023-41061 είναι ένα πρόβλημα επαλήθευσης που εκμεταλλεύεται μη εγκεκριμένα συνημμένα.

Και τα δύο επιτρέπουν σε κακόβουλους φορείς να εκτελούν αυθαίρετο κώδικα σε μη ενημερωμένα iPhone και iPad.

Η Apple αντιμετώπισε τις αδυναμίες στα macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 και watchOS 9.6.2 με βελτιωμένη λογική και χειρισμό της μνήμης.

Η λίστα των συσκευών που επηρεάζονται περιλαμβάνει:

  • iPhone 8 και μεταγενέστερα
  • iPad Pro (όλα τα μοντέλα), iPad Air 3ης γενιάς και μεταγενέστερα, iPad 5ης γενιάς και μεταγενέστερα, και iPad mini 5ης γενιάς και μεταγενέστερα
  • Mac που τρέχουν macOS Ventura
  • Apple Watch Series 4 και νεότερη έκδοση

Δείτε επίσης: Μπορείτε πλέον να απαντήσετε σε iMessages από υπολογιστή Windows 11

Από την αρχή του έτους, η Apple έχει καθορίσει συνολικά 13 zero-days που αξιοποιήθηκαν για να στοχεύσουν συσκευές με iOS, macOS, iPadOS και watchOS, συμπεριλαμβανομένων:

  • δύο zero-days (CVE-2023-37450 και CVE-2023-38606) τον Ιούλιο
  • τρία zero-days (CVE-2023-32434, CVE-2023-32435 και CVE-2023-32439) τον Ιούνιο
  • τρία ακόμη zero-days (CVE-2023-32409, CVE-2023-28204 και CVE-2023-32373) τον Μάιο
  • δύο zero-days (CVE-2023-28206 και CVE-2023-28205) τον Απρίλιο
  • και ένα άλλο WebKit zero-day (CVE-2023-23529) τον Φεβρουάριο