Az Al Jazeera szerint egy izraeli Candiru céghez köthető rejtett kártevő-kampány 45 újságírója és munkatársa eszközét fertőzte meg, és a felhasználók bármilyen művelete nélkül adatokat szívott ki ezekről. A nyilvánosságra hozatal éles példája annak, hogy az újságírók által használt zero-click kémprogramok miként fordíthatók ellenük, és hogy a szokásos óvatosság gyakran nem elegendő a jól finanszírozott támadókkal szemben.

Az alábbi részletek az Al Jazeera nyilatkozatát összefoglaló jelentésből származnak. Ahol a nyilvános adatok hiányosak, ezt jelezzük.

Mi történt az Al Jazeera szerint

A jelentés szerint az Al Jazeera egy Candiruhoz köthető zero-click támadást írt le, amely 45 újságírója eszközét kompromittálta. A kártevő állítólag minden felhasználói interakció nélkül exfiltrálta az adatokat. Más szóval, az érintetteknek nem kellett fájlt megnyitniuk, hivatkozásra koppintaniuk vagy bármit jóváhagyniuk ahhoz, hogy a fertőzés megtelepedjen.

A forrás-összefoglaló nem ad további részleteket, például arról, hogy mely operációs rendszereket érintette, milyen sebezhetőségeket használtak ki, milyen időszakban történtek a fertőzések, vagy ki rendelte meg a kampányt. Nem fogunk találgatni ezekről a részletekről. Az olvasóknak a 45 eszközre vonatkozó adatot az Al Jazeera jelentett állításaként kell kezelniük, és figyelniük kell a műsorsugárzó vagy független kutatók technikai utókövetésére.

Hogyan működik a zero-click kémprogram koppintás nélkül

A legtöbb ember megtanulta elkerülni a gyanús hivatkozásokat és a váratlan mellékleteket. Ez a tanács az „egy koppintásos” támadásokat célozza, ahol az áldozatnak valamit tennie kell. A zero-click kémprogram eltávolítja ezt a lépést.

Általánosságban a zero-click támadások kihasználják a bejövő adatokat automatikusan feldolgozó szoftverek hibáit, például az üzenetküldő alkalmazások, médialekezelők vagy hálózati szolgáltatások sebezhetőségeit. Ha egy támadó sebezhetőséget talál ebben az automatikus kezelésben, egy speciálisan megalkotott üzenet vagy adatcsomag kódvégrehajtást válthat ki a telefonon vagy számítógépen, mielőtt a tulajdonos bármit látna. Lehet, hogy nincs értesítés, nincs furcsa felugró ablak, és nincs nyilvánvaló jel utána sem.

Telepítés után az ilyen típusú kémprogram jellemzően üzenetek olvasására, fájlok gyűjtésére és egyéb adatok eszközről való begyűjtésére használható. Az Al Jazeera adatok exfiltrálásáról szóló jelentése illeszkedik ehhez a mintához.

A nem technikai olvasók számára a kulcsfontosságú pont: ez nem a felhasználói ítélőképesség kudarca. Az óvatos viselkedés nem tud teljesen megakadályozni egy olyan támadást, amely egyáltalán nem igényel viselkedést.

Miért elsődleges célpontjai az újságírók a Candiru-stílusú eszközöknek

A Candirut izraeli cégként írják le, és a hozzá hasonló cégek eszközeit gyakran zsoldos kémprogramoknak nevezik: magánszállítók által kifejlesztett és ügyfeleknek értékesített erőteljes megfigyelési képességek. Ezeket az eszközöket drága és bonyolult megépíteni, ezért általában kisszámú, nagy értékű célpontra irányulnak, nem a széles nyilvánosságra.

Az újságírók egyértelmű okokból illeszkednek ebbe a profilba. A riporterek érzékeny anyagokat tartanak: források személyazonosságát, nem publikált leleteket és bizalmas kommunikációkat olyan emberekkel, akik veszélyben lehetnek. Egy hírszerkesztőség eszközeinek kompromittálása mindezt egyszerre teheti ki. Egyetlen fertőzött telefon nemcsak az újságíró saját tevékenységét fedheti fel, hanem mindazok kapcsolatait és bizalmas közléseit is, akikkel beszél.

Az itt jelentett lépték, 45 eszköz egy szervezetnél, egy egész intézményt célzó kampányra utal, nem egyetlen személyre. Ez fontos a hírszervezetek, emberi jogi csoportok és minden olyan munkahely számára, ahol többen kezelnek érzékeny információkat.

A riportálásra nehezedő megfigyelési nyomás más formákban is megmutatkozik. A pakisztáni irányítású Kasmír elhúzódó internetkimaradásáról szóló tudósításunk, amely az Al Jazeera riportjára támaszkodik, rámutat arra, hogy a kommunikáció korlátozása hogyan súlyosbíthatja az embereket érő kockázatokat, amikor információt próbálnak megosztani.

Mi csökkenti reálisan a kitettségét

Egyetlen lépés sem teszi az eszközt immunissá egy elszánt, jól felszerelt támadóval szemben. De néhány intézkedés érdemben növeli egy támadás költségét és nehézségét.

  • Telepítse az operációs rendszer és az alkalmazások frissítéseit haladéktalanul. A zero-click támadások javítatlan vagy nem ismert hibáktól függenek. A biztonsági frissítések betömik az ismert lyukakat, a késedelmek pedig nyitva hagyják azokat.
  • Kapcsolja be a Lockdown Mode-ot, ahol elérhető. Egyes platformok kínálnak egy szélsőséges védelmi beállítást, amely bizonyos funkciók korlátozásával csökkenti a támadási felületet. Kényelmet vált biztonságra, ami ésszerű alkunak bizonyulhat a fokozott kockázatnak kitett emberek számára.
  • Indítsa újra rendszeresen az eszközöket. Egyes kártevők nem élik túl az újraindítást, így az időszakos újraindítások arra kényszeríthetik a támadót, hogy újrafertőzzön.
  • Csökkentse, mi van tárolva az eszközén. Az eltűnő üzenetek és a rendszeres törlés korlátozzák, mennyit gyűjthet össze egy behatoló.
  • Válassza külön az érzékeny munkát. A legérzékenyebb kommunikációhoz dedikált eszköz használata korlátozhatja a kárt, ha egy másik eszközt kompromittálnak.
  • Jelentse a feltételezett kompromittálást. Ha hírszervezetnél vagy érdekvédelmi csoportnál dolgozik, jelezze aggodalmait biztonsági csapatának vagy digitális biztonsági szakértőnek, ahelyett hogy egyedül próbálná kivizsgálni.

Mit jelent ez Önnek

A legtöbb olvasót valószínűleg nem célzák a Candiruhoz hasonló eszközök. De a tanulságok széles körben érvényesek. Az eszközök frissítése a leghasznosabb szokás, és sok más fenyegetés ellen is véd.

Ha újságíró, aktivista, ügyvéd vagy más olyan személy, aki állami szintű érdeklődést vonzhat, feltételezze, hogy a kockázata magasabb, és ennek megfelelően cselekedjen: frissítsen gyorsan, használja az eszköze által kínált legerősebb védelmi módokat, és korlátozza az érzékeny adatokat a telefonján.

Az is érdemes tisztázni, mit tesz és mit nem tesz egy VPN. A VPN titkosítja a hálózati forgalmát, és elrejti az IP-címét a webhelyek és a helyi hálózatok elől. Nem állítja meg az eszközén már futó kémprogramot, és nem akadályoz meg egy zero-click exploitot, amely magára a telefonon lévő szoftverre irányul. A VPN-ek továbbra is hasznosak a hálózati adatvédelem szempontjából, de nem jelentenek védelmet ezen támadástípus ellen.

Kulcsfontosságú tanulságok

Az Al Jazeera jelentett nyilvánosságra hozatala egy Candiruhoz köthető, 45 eszköz elleni kampányról emlékeztető arra, hogy az újságírók által szembe nézett zero-click kémprogramok még az óvatos felhasználókat is megkerülhetik. Kezelje a részleteket fejlődőként, mivel a nyilvános összefoglaló korlátozott.

Bárki számára, aki fokozott kockázatnak van kitéve: alkalmazza az operációs rendszer frissítéseit, amint elérhetők, kapcsolja be a Lockdown Mode-ot, ha eszköze támogatja, indítsa újra rendszeresen, tároljon kevesebb érzékeny adatot, és értse meg, hogy a VPN nem védi meg a kémprogramoktól magán az eszközön.