Al Jazeera kertoo, että israelilaiseen Candiru-yritykseen liitetty peitellyn haittaohjelmakampanja infektoi 45 sen toimittajien ja henkilökunnan laitteista ja vei niistä tietoja ilman minkäänlaista käyttäjän toimintaa. Paljastus on karu esimerkki siitä, miten toimittajien käyttämä nollaklikkausvakoiluohjelma voidaan kääntää heitä itseään vastaan, ja siitä, miksi tavallinen varovaisuus ei usein riitä hyvin rahoitettuja hyökkääjiä vastaan.

Alla olevat yksityiskohdat perustuvat raporttiin, joka tiivistää Al Jazeran lausunnon. Siellä missä julkinen tieto on niukkaa, sanomme sen.

Mitä Al Jazeera kertoo tapahtuneen

Raportin mukaan Al Jazeera kuvaili Candiruun liittyvää nollaklikkkaushyökkäystä, joka vaaransi 45 sen toimittajan laitetta. Haittaohjelman kerrotaan vieneen tietoja ilman minkäänlaista käyttäjän vuorovaikutusta. Toisin sanoen, tartunnan saaneiden ihmisten ei tarvinnut avata tiedostoa, napauttaa linkkiä tai hyväksyä mitään, jotta infekto voisi juurtua.

Lähdetiivistelmä ei tarjoa tarkempia yksityiskohtia, kuten mitkä käyttöjärjestelmät olivat vaarantuneet, mitä haavoittuvuuksia käytettiin, millä aikavälillä infektiot tapahtuivat tai kuka kampanjan tilasi. Emme aio arvailla näitä yksityiskohtia. Lukijoiden tulee suhtautua 45 laitteen lukuun Al Jazeran raportoimana väitteenä ja seurata yleisradioyhtiön tai riippumattomien tutkijoiden teknisiä jatkoselvityksiä.

Miten nollaklikkausvakoiluohjelma toimii ilman ainuttakaan napautusta

Useimmat ihmiset ovat oppineet välttämään epäilyttäviä linkkejä ja odottamattomia liitteitä. Tämä ohje kohdistuu "yhden klikkauksen" hyökkäyksiin, joissa uhrin on tehtävä jotain. Nollaklikkausvakoiluohjelma poistaa tämän vaiheen.

Yleisesti ottaen nollaklikkaushyökkäykset hyödyntävät ohjelmistoissa olevia puutteita, jotka käsittelevät saapuvaa dataa automaattisesti, kuten viestisovellukset, mediakäsittelijät tai verkkopalvelut. Jos hyökkääjä löytää haavoittuvuuden tässä automaattisessa käsittelyssä, erityisesti rakennettu viesti tai datapaketti voi laukaista koodin suorittamisen puhelimessa tai tietokoneessa ennen kuin omistaja näkee mitään. Ilmoitusta ei välttämättä tule, outoa ponnahdusikkunaa ei näy eikä jälkikäteen ole ilmeisiä merkkejä.

Kun tällainen vakoiluohjelma on asennettu, sitä voidaan tyypillisesti käyttää viestien lukemiseen, tiedostojen keräämiseen ja muun datan keräämiseen laitteesta. Al Jazeran raportti tietojen viennistä sopii tähän kaavaan.

Keskeinen pointti ei-teknisille lukijoille: tämä ei ole käyttäjän arvostelukyvyn pettämistä. Varovainen käyttäytyminen ei voi täysin estää hyökkäystä, joka ei vaadi lainkaan käyttäytymistä.

Miksi toimittajat ovat Candiru-tyyppisten työkalujen ensisijaisia kohteita

Candirua kuvataan israelilaiseksi yritykseksi, ja sen kaltaisten yritysten työkaluja kutsutaan usein palkkasoturivakoiluohjelmiksi: yksityisten toimittajien kehittämiä ja asiakkaille myymiä tehokkaita valvontakykyjä. Nämä työkalut ovat kalliita ja monimutkaisia rakentaa, minkä vuoksi ne yleensä kohdistetaan pieneen joukkoon korkean arvon kohteita eikä suureen yleisöön.

Toimittajat sopivat tähän profiiliin selkeistä syistä. Raportoijilla on hallussaan arkaluontoista materiaalia: lähteiden henkilöllisyyksiä, julkaisemattomia löydöksiä ja yksityisiä yhteydenottoja ihmisiin, jotka voivat olla vaarassa. Uutistoimituksen laitteiden vaarantaminen voi paljastaa kaiken tämän kerralla. Yksi infektoitunut puhelin voi paljastaa paitsi toimittajan oman toiminnan myös kaikkien hänen kanssaan keskustelevien kontaktit ja luottamukselliset tiedot.

Tässä raportoitu mittakaava, 45 laitetta yhdessä organisaatiossa, viittaa kampanjaan, joka kohdistui koko instituutioon eikä yksittäiseen henkilöön. Tällä on merkitystä uutisorganisaatioille, ihmisoikeusryhmille ja kaikille työpaikoille, joissa useat ihmiset käsittelevät arkaluontoista tietoa.

Raportoinnin kohdistuva valvontapaine ilmenee myös muissa muodoissa. Kattavuutemme Pakistanin hallinnoiman Kashmirin pitkittyneestä internetsulusta Al Jazeran raportointiin nojautuen osoittaa, miten viestintärajoitukset voivat pahentaa riskejä, joita ihmiset kohtaavat yrittäessään jakaa tietoa.

Mikä realistisesti vähentää altistumistasi

Mikään yksittäinen toimenpide ei tee laitteesta immuunia päättäväiselle, hyvin resursoidulle hyökkääjälle. Mutta jotkin toimenpiteet nostavat merkittävästi hyökkäyksen kustannuksia ja vaikeutta.

  • Asenna käyttöjärjestelmä- ja sovelluspäivitykset viipymättä. Nollaklikkaushyökkäykset riippuvat paikkaamattomista tai julkistamattomista puutteista. Tietoturvapäivitykset sulkevat tunnetut aukot, ja viivytykset jättävät ne avoimiksi.
  • Ota Lockdown-tila käyttöön, jos saatavilla. Jotkin alustat tarjoavat äärimmäisen suojausasetuksen, joka pienentää hyökkäyspintaa rajoittamalla tiettyjä ominaisuuksia. Se vaihtaa mukavuuden turvallisuuteen, mikä voi olla kohtuullinen kauppa kohonneessa riskissä oleville ihmisille.
  • Käynnistä laitteet säännöllisesti uudelleen. Jotkin haittaohjelmat eivät selviä uudelleenkäynnistyksestä, joten säännölliset uudelleenkäynnistykset voivat pakottaa hyökkääjän infektoimaan uudelleen.
  • Vähennä laitteeseesi tallennettua tietoa. Katoavat viestit ja rutiininomainen poistaminen rajoittavat sitä, kuinka paljon tunkeilija voi kerätä.
  • Erota arkaluontoinen työ. Omistautuneen laitteen käyttäminen kaikkein arkaluontoisimpaan viestintään voi rajata vahinkoa, jos toinen laite vaarantuu.
  • Ilmoita epäillystä vaarantumisesta. Jos työskentelet uutisorganisaatiossa tai edunvalvontaryhmässä, nosta huolesi esiin tietoturvatiimisi tai digitaalisen turvallisuuden asiantuntijan kanssa sen sijaan, että yrittäisit tutkia asiaa yksin.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät todennäköisesti ole Candirun kaltaisten työkalujen kohteina. Mutta opetukset pätevät laajasti. Laitteiden pitäminen ajan tasalla on yksittäisistä hyödyllisimmistä tavoista, ja se suojaa myös monilta muilta uhilta.

Jos olet toimittaja, aktivisti, lakimies tai joku muu, joka voi herättää valtiollista kiinnostusta, oleta riskisi olevan korkeampi ja toimi sen mukaisesti: päivitä nopeasti, käytä laitteesi tarjoamia vahvimpia suojatiloja ja rajoita arkaluontoisten tietojen määrää puhelimessasi.

On myös syytä olla selkeä siitä, mitä VPN tekee ja mitä ei. VPN salaa verkkoliikenteesi ja peittää IP-osoitteesi sivustoilta ja paikallisverkoilta. Se ei pysäytä laitteessasi jo käynnissä olevaa vakoiluohjelmaa, eikä se voi estää nollaklikkaushyökkäystä, joka kohdistuu puhelimen omaan ohjelmistoon. VPN:t ovat edelleen hyödyllisiä verkon yksityisyydelle, mutta ne eivät ole puolustus tämän luokan hyökkäystä vastaan.

Keskeiset opetukset

Al Jazeran raportoima paljastus Candiruun liittyvästä kampanjasta 45 laitetta vastaan muistuttaa, että toimittajien kohtaama nollaklikkausvakoiluohjelma voi ohittaa jopa varovaiset käyttäjät. Suhtaudu yksityiskohtiin kehittyvinä, sillä julkinen tiivistelmä on rajallinen.

Kaikille korkeammassa riskissä oleville: asenna käyttöjärjestelmäpäivitykset heti kun ne ovat saatavilla, ota Lockdown-tila käyttöön, jos laitteesi tukee sitä, käynnistä säännöllisesti uudelleen, tallenna vähemmän arkaluontoista dataa ja ymmärrä, että VPN ei suojaa sinua laitteessa olevalta vakoiluohjelmalta.