Al Jazeera zegt dat een heimelijke malwarecampagne die gelinkt wordt aan het Israëlische bedrijf Candiru 45 apparaten van zijn journalisten en medewerkers infecteerde en er gegevens van weghaalde zonder enige actie van de gebruikers. De onthulling is een schrijnend voorbeeld van hoe zero-click spyware waarop journalisten vertrouwen tegen hen kan worden gekeerd, en waarom gewone voorzichtigheid vaak niet volstaat tegen goed gefinancierde aanvallers.

De onderstaande details komen uit een rapport dat de verklaring van Al Jazeera samenvat. Waar het publieke verslag schaars is, zeggen we dat.

Wat Al Jazeera zegt dat er is gebeurd

Volgens het rapport beschreef Al Jazeera een zero-click-aanval die aan Candiru gekoppeld is en die 45 apparaten van zijn journalisten compromitteerde. De malware zou gegevens hebben geëxfiltreerd zonder enige gebruikersinteractie. Met andere woorden, de getroffenen hoefden geen bestand te openen, op een link te tikken of iets goed te keuren om de infectie vat te laten krijgen.

De bron samenvatting geeft geen verdere bijzonderheden, zoals welke besturingssystemen getroffen werden, welke kwetsbaarheden werden gebruikt, over welke periode de infecties plaatsvonden, of wie de campagne heeft opdracht gegeven. We gaan die details niet gokken. Lezers moeten het cijfer van 45 apparaten behandelen als de gerapporteerde claim van Al Jazeera en uitkijken naar technische follow-up van de omroep of onafhankelijke onderzoekers.

Hoe zero-click spyware werkt zonder enige tik

De meeste mensen hebben geleerd verdachte links en onverwachte bijlagen te vermijden. Dat advies is gericht op "one-click"-aanvallen, waarbij een slachtoffer iets moet doen. Zero-click spyware haalt die stap weg.

In algemene termen maken zero-click-aanvallen gebruik van fouten in software die automatisch inkomende gegevens verwerkt, zoals berichtenapps, media-parsers of netwerkdiensten. Als een aanvaller een kwetsbaarheid vindt in die automatische verwerking, kan een speciaal vervaardigd bericht of datapakket code-uitvoering op de telefoon of computer activeren voordat de eigenaar iets ziet. Er is mogelijk geen melding, geen vreemde pop-up en geen duidelijk teken achteraf.

Eenmaal geïnstalleerd kan dit soort spyware doorgaans worden gebruikt om berichten te lezen, bestanden te verzamelen en andere gegevens van het apparaat te verzamelen. Het rapport van Al Jazeera over gegevensexfiltratie past in dat patroon.

Het belangrijkste punt voor niet-technische lezers: dit is geen falen van het beoordelingsvermogen van de gebruiker. Zorgvuldig gedrag kan een aanval die helemaal geen gedrag vereist niet volledig voorkomen.

Waarom journalisten een voornaam doelwit zijn voor tools in Candiru-stijl

Candiru wordt beschreven als een Israëlisch bedrijf, en tools van bedrijven zoals dat worden vaak mercenaire spyware genoemd: krachtige surveillancecapaciteiten die door private leveranciers worden ontwikkeld en aan klanten worden verkocht. Deze tools zijn duur en complex om te bouwen, waardoor ze meestal gericht zijn op een klein aantal hoogwaardige doelwitten in plaats van het grote publiek.

Journalisten passen in dat profiel om duidelijke redenen. Verslaggevers bezitten gevoelig materiaal: identiteiten van bronnen, ongepubliceerde bevindingen en privécommunicatie met mensen die mogelijk gevaar lopen. Het compromitteren van de apparaten van een nieuwsredactie kan dat allemaal tegelijk blootleggen. Een enkele geïnfecteerde telefoon kan niet alleen de eigen activiteit van de journalist onthullen, maar ook de contacten en vertrouwelijkheden van iedereen met wie zij spreken.

De hier gerapporteerde schaal, 45 apparaten bij één organisatie, suggereert een campagne gericht op een hele instelling in plaats van één individu. Dat is van belang voor nieuwsorganisaties, mensenrechtengroepen en elke werkplek waar meerdere mensen met gevoelige informatie omgaan.

Surveillancedruk op verslaggeving komt ook in andere vormen naar voren. Onze berichtgeving over de langdurige internetblackout in door Pakistan bestuurd Kasjmir, op basis van berichtgeving van Al Jazeera, laat zien hoe beperkingen op communicatie de risico's kunnen versterken waarmee mensen worden geconfronteerd wanneer zij informatie proberen te delen.

Wat je blootstelling realistisch gezien vermindert

Geen enkele stap maakt een apparaat immuun voor een vastberaden, goed gefinancierde aanvaller. Maar sommige maatregelen verhogen de kosten en moeilijkheidsgraad van een aanval aanzienlijk.

  • Installeer OS- en app-updates promptly. Zero-click-aanvallen zijn afhankelijk van ongepatchte of niet-openbaar gemaakte fouten. Beveiligingsupdates dichten bekende gaten, en vertragingen laten ze open.
  • Schakel Lockdown Mode in waar beschikbaar. Sommige platforms bieden een extreme beveiligingsinstelling die het aanvalsoppervlak verkleint door bepaalde functies te beperken. Het ruilt gemak in voor veiligheid, wat een redelijke ruil kan zijn voor mensen met verhoogd risico.
  • Herstart apparaten regelmatig. Sommige malware overleeft een herstart niet, dus periodieke herstarts kunnen een aanvaller dwingen opnieuw te infecteren.
  • Beperk wat op je apparaat is opgeslagen. Verdwijnende berichten en routineus verwijderen beperken hoeveel een indringer kan verzamelen.
  • Scheid gevoelig werk. Een toegewijd apparaat gebruiken voor de meest gevoelige communicatie kan de schade beperken als een ander apparaat wordt gecompromitteerd.
  • Meld vermoedelijke compromittering. Als je bij een nieuwsorganisatie of belangenorganisatie werkt, breng je zorgen dan naar je beveiligingsteam of een specialist in digitale beveiliging in plaats van alleen te proberen te onderzoeken.

Wat dit voor jou betekent

De meeste lezers worden waarschijnlijk niet het doelwit van tools zoals die van Candiru. Maar de lessen zijn breed toepasbaar. Apparaten up-to-date houden is de enkele meest nuttige gewoonte, en het beschermt ook tegen vele andere bedreigingen.

Als je journalist, activist, advocaat of iemand anders bent die belangstelling op staatsniveau kan trekken, ga er dan van uit dat je risico hoger is en handel dienovereenkomstig: update snel, gebruik de sterkste beschermingsmodi die je apparaat biedt, en beperk gevoelige gegevens op je telefoon.

Het is ook de moeite waard duidelijk te zijn over wat een VPN wel en niet doet. Een VPN versleutelt je netwerkverkeer en maskeert je IP-adres voor sites en lokale netwerken. Het stopt geen spyware die al op je apparaat draait, en het kan een zero-click-exploit die zich richt op software op de telefoon zelf niet voorkomen. VPN's blijven nuttig voor netwerkprivacy, maar ze zijn geen verdediging tegen deze klasse van aanvallen.

Belangrijkste punten

De gerapporteerde onthulling van Al Jazeera van een aan Candiru gelinkte campagne tegen 45 apparaten is een herinnering dat zero-click spyware waarmee journalisten worden geconfronteerd zelfs zorgvuldige gebruikers kan omzeilen. Behandel de details als in ontwikkeling, aangezien de publieke samenvatting beperkt is.

Voor iedereen met hoger risico: pas OS-updates toe zodra ze beschikbaar zijn, schakel Lockdown Mode in als je apparaat dit ondersteunt, herstart regelmatig, sla minder gevoelige gegevens op, en begrijp dat een VPN je niet beschermt tegen spyware op het apparaat zelf.