Al Jazeera siger, at en hemmelig malware-kampagne med forbindelse til det israelske firma Candiru inficerede 45 enheder tilhørende selskabets journalister og medarbejdere og trak data ud af dem uden nogen handling fra brugernes side. Afsløringen er et slående eksempel på, hvordan zero-click-spionsoftware, som journalister er afhængige af, kan vendes mod dem, og hvorfor almindelig forsigtighed ofte ikke er nok mod velfinansierede angribere.

Detaljerne nedenfor stammer fra en rapport, der opsummerer Al Jazeeras udtalelse. Hvor den offentlige dokumentation er sparsom, siger vi det.

Hvad Al Jazeera siger skete

Ifølge rapporten beskrev Al Jazeera et zero-click-angreb knyttet til Candiru, som kompromitterede 45 af selskabets journalists enheder. Malwaren udtrak angiveligt data uden nogen brugerinteraktion. Med andre ord behøvede de berørte personer ikke at åbne en fil, trykke på et link eller godkende noget for, at infektionen kunne få fodfæste.

Kildeopsummeringen giver ikke yderligere detaljer, såsom hvilke styresystemer der var berørt, hvilke sårbarheder der blev udnyttet, over hvilken periode infektionerne fandt sted, eller hvem der bestilte kampagnen. Vi vil ikke gætte på disse detaljer. Læsere bør betragte tallet på 45 enheder som Al Jazeeras rapporterede påstand og holde øje med teknisk opfølgning fra tv-stationen eller uafhængige forskere.

Hvordan zero-click-spionsoftware virker uden ét eneste tryk

De fleste har lært at undgå mistænkelige links og uventede vedhæftede filer. Det råd er rettet mod "one-click"-angreb, hvor et offer skal gøre noget. Zero-click-spionsoftware fjerner det trin.

I generelle vendinger udnytter zero-click-angreb fejl i software, der automatisk behandler indkommende data, såsom beskedapps, medieparsere eller netværkstjenester. Hvis en angriber finder en sårbarhed i den automatiske håndtering, kan en specialfremstillet besked eller datapakke udløse kodeeksekvering på telefonen eller computeren, før ejeren ser noget. Der er måske ingen underretning, ingen mærkelig popup og intet oplagt tegn bagefter.

Når den først er installeret, kan spionsoftware af denne type typisk bruges til at læse beskeder, indsamle filer og indhente andre data fra enheden. Al Jazeeras rapport om dataudtrækning passer på det mønster.

Den vigtigste pointe for ikke-tekniske læsere: dette er ikke en svigt i brugernes dømmekraft. Forsigtig adfærd kan ikke fuldt ud forhindre et angreb, der slet ikke kræver nogen adfærd.

Hvorfor journalister er primære mål for Candiru-lignende værktøjer

Candiru beskrives som et israelsk firma, og værktøjer fra virksomheder som det kaldes ofte lejesoldat-spionsoftware: kraftfulde overvågningskapaciteter udviklet af private leverandører og solgt til kunder. Disse værktøjer er dyre og komplekse at bygge, hvilket er grunden til, at de har tendens til at være rettet mod et lille antal højværdimål snarere end den brede offentlighed.

Journalister passer på den profil af klare grunde. Reportere besidder følsomt materiale: kildeidentiteter, upublicerede fund og private kommunikationer med personer, der kan være i fare. At kompromittere en nyhedsredaktions enheder kan afsløre alt det på én gang. En enkelt inficeret telefon kan afsløre ikke bare journalistens egen aktivitet, men også kontakterne og fortrolighederne hos alle, de taler med.

Omfanget, der rapporteres her, 45 enheder hos én organisation, tyder på en kampagne rettet mod en hel institution snarere end en enkelt person. Det betyder noget for nyhedsorganisationer, menneskerettighedsgrupper og enhver arbejdsplads, hvor flere personer håndterer følsomme oplysninger.

Overvågningspres mod rapportering viser sig også i andre former. Vores dækning af det langvarige internetnedbrud i pakistansk-administreret Kashmir, baseret på Al Jazeera-rapportering, viser, hvordan begrænsninger på kommunikation kan forstærke de risici, folk står over for, når de forsøger at dele information.

Hvad der realistisk set reducerer din eksponering

Intet enkelt skridt gør en enhed immun over for en beslutsom, velressourcestærk angriber. Men nogle foranstaltninger hæver meningsfuldt omkostningerne og vanskeligheden ved et angreb.

  • Installer OS- og appopdateringer hurtigt. Zero-click-angreb afhænger af uopdaterede eller ikke-offentliggjorte fejl. Sikkerhedsopdateringer lukker kendte huller, og forsinkelser lader dem stå åbne.
  • Aktivér Lockdown Mode, hvor det er tilgængeligt. Nogle platforme tilbyder en ekstrem beskyttelsesindstilling, der reducerer angrebsfladen ved at begrænse visse funktioner. Det bytter bekvemmelighed for sikkerhed, hvilket kan være en rimelig handel for personer med forhøjet risiko.
  • Genstart enheder regelmæssigt. Noget malware overlever ikke en genstart, så regelmæssige genstarter kan tvinge en angriber til at inficere igen.
  • Reducer hvad der gemmes på din enhed. Beskeder, der forsvinder, og rutinemæssig sletning begrænser, hvor meget en indtrængende kan indsamle.
  • Adskil følsomt arbejde. Brug af en dedikeret enhed til de mest følsomme kommunikationer kan begrænse skaden, hvis en anden enhed kompromitteres.
  • Rapporter mistanke om kompromittering. Hvis du arbejder i en nyhedsorganisation eller fortalerorganisation, så rejs bekymringer med dit sikkerhedsteam eller en digital sikkerhedsspecialist i stedet for at forsøge at undersøge det alene.

Hvad det betyder for dig

De fleste læsere vil næppe blive mål for værktøjer som Candirus. Men læringerne gælder bredt. At holde enheder opdaterede er den enkelt mest nyttige vane, og det beskytter også mod mange andre trusler.

Hvis du er journalist, aktivist, advokat eller en anden person, der kan tiltrække statslig interesse, så antag, at din risiko er højere, og handl derefter: opdater hurtigt, brug de stærkeste beskyttelsestilstande, din enhed tilbyder, og begræns følsomme data på din telefon.

Det er også værd at være klar over, hvad en VPN gør og ikke gør. En VPN krypterer din netværkstrafik og maskerer din IP-adresse over for websteder og lokale netværk. Den stopper ikke spionsoftware, der allerede kører på din enhed, og den kan ikke forhindre et zero-click-exploit, der retter sig mod software på selve telefonen. VPN'er forbliver nyttige til netværksprivatliv, men de er ikke et forsvar mod denne type angreb.

Centrale pointer

Al Jazeeras rapporterede afsløring af en Candiru-relateret kampagne mod 45 enheder er en påmindelse om, at zero-click-spionsoftware, som journalister står over for, kan omgå selv forsigtige brugere. Behandl detaljerne som under udvikling, da den offentlige opsummering er begrænset.

For alle med forhøjet risiko: anvend OS-opdateringer, så snart de er tilgængelige, slå Lockdown Mode til, hvis din enhed understøtter det, genstart regelmæssigt, gem færre følsomme data, og forstå, at en VPN ikke beskytter dig mod spionsoftware på selve enheden.