Al Jazeera sier Candiru-koblet spionprogramvare rammet 45 ansattes enheter

Al Jazeera sier en skjult skadelig programvarekampanje knyttet til det israelske selskapet Candiru infiserte 45 enheter som tilhørte selskapets journalister og ansatte, og hentet ut data fra dem uten at brukerne foretok seg noe. Avsløringen er et slående eksempel på hvordan nullklikks-spionprogramvare som journalister er avhengige av, kan vendes mot dem, og hvorfor vanlig forsiktighet ofte ikke er nok mot godt finansierte angripere.

Detaljene nedenfor kommer fra en rapport som oppsummerer Al Jazeeras uttalelse. Der den offentlige dokumentasjonen er tynn, sier vi det.

Hva Al Jazeera sier skjedde

Ifølge rapporten beskrev Al Jazeera et nullklikks-angrep knyttet til Candiru som kompromitterte 45 av journalistenes enheter. Skadevaren skal ha eksfiltrert data uten noen brukerinteraksjon. Med andre ord trengte ikke de berørte å åpne en fil, trykke på en lenke eller godkjenne noe for at infeksjonen skulle få fotfeste.

Kildesammendraget gir ikke flere detaljer, som hvilke operativsystemer som ble rammet, hvilke sårbarheter som ble brukt, over hvilken periode infeksjonene skjedde, eller hvem som bestilte kampanjen. Vi kommer ikke til å gjette på disse detaljene. Lesere bør behandle tallet på 45 enheter som Al Jazeeras rapporterte påstand og følge med på teknisk oppfølging fra kringkasteren eller uavhengige forskere.

Hvordan nullklikks-spionprogramvare fungerer uten et eneste trykk

De fleste har lært å unngå mistenkelige lenker og uventede vedlegg. Det rådet retter seg mot «ettklikks»-angrep, der offeret må gjøre noe. Nullklikks-spionprogramvare fjerner det trinnet.

I generelle termer utnytter nullklikks-angrep feil i programvare som automatisk behandler innkommende data, som meldingsapper, medieparsere eller nettverkstjenester. Hvis en angriper finner en sårbarhet i den automatiske håndteringen, kan en spesiallaget melding eller datapakke utløse kodekjøring på telefonen eller datamaskinen før eieren ser noe. Det kan være ingen varsling, ingen merkelig popup og ingen åpenbare tegn etterpå.

Når den er installert, kan spionprogramvare av denne typen vanligvis brukes til å lese meldinger, samle inn filer og hente andre data fra enheten. Al Jazeeras rapport om dataeksfiltrering passer til det mønsteret.

Hovedpoenget for ikke-tekniske lesere: dette er ikke en svikt i brukerens dømmekraft. Forsiktig atferd kan ikke fullt ut forhindre et angrep som ikke krever noen atferd i det hele tatt.

Hvorfor journalister er hovedmål for verktøy i Candiru-stil

Candiru beskrives som et israelsk selskap, og verktøy fra selskaper som det kalles ofte leiesoldat-spionprogramvare: kraftige overvåkingskapasiteter utviklet av private leverandører og solgt til kunder. Disse verktøyene er dyre og komplekse å bygge, og derfor rettes de vanligvis mot et lite antall høyverdige mål snarere enn allmennheten.

Journalister passer til den profilen av åpenbare grunner. Reportasjearbeidere sitter på sensitivt materiale: kildeidentiteter, upubliserte funn og private kommunikasjoner med personer som kan være i fare. Å kompromittere en nyhetsredaksjons enheter kan avsløre alt dette på én gang. En enkelt infisert telefon kan avsløre ikke bare journalistens egen aktivitet, men kontaktene og fortroligheten til alle de snakker med.

Omfanget som rapporteres her, 45 enheter i én organisasjon, tyder på en kampanje rettet mot en hel institusjon snarere enn én enkeltperson. Det er viktig for nyhetsorganisasjoner, menneskerettighetsgrupper og ethvert arbeidssted der flere personer håndterer sensitiv informasjon.

Overvåkingspress mot journalistikk viser seg også i andre former. Vår dekning av den langvarige internettblokkeringen i pakistansk-administrert Kashmir, basert på Al Jazeera-rapportering, viser hvordan begrensninger på kommunikasjon kan forsterke risikoen folk står overfor når de prøver å dele informasjon.

Hva som realistisk sett reduserer eksponeringen din

Ingen enkeltstående handling gjør en enhet immun mot en bestemt, ressurssterk angriper. Men noen tiltak øker meningsfullt kostnaden og vanskelighetsgraden ved et angrep.

• Installer OS- og appoppdateringer raskt. Nullklikks-angrep er avhengige av uopprettede eller uavslørte feil. Sikkerhetsoppdateringer lukker kjente hull, og forsinkelser lar dem stå åpne.
• Aktiver Lockdown-modus der det er tilgjengelig. Noen plattformer tilbyr en ekstrem beskyttelsesinnstilling som reduserer angrepsflaten ved å begrense visse funksjoner. Den bytter bekvemmelighet mot sikkerhet, noe som kan være en rimelig handel for personer med forhøyet risiko.
• Start enheter på nytt regelmessig. Noe skadevare overlever ikke en omstart, så periodiske omstarter kan tvinge en angriper til å reinfisere.
• Reduser hva som lagres på enheten din. Meldinger som forsvinner og rutinemessig sletting begrenser hvor mye en inntrenger kan samle inn.
• Skill sensitivt arbeid. Å bruke en dedikert enhet for de mest sensitive kommunikasjonene kan begrense skaden hvis en annen enhet kompromitteres.
• Rapporter mistanke om kompromittering. Hvis du jobber i en nyhetsorganisasjon eller påvirkningsgruppe, ta opp bekymringer med sikkerhetsteamet ditt eller en spesialist på digital sikkerhet i stedet for å prøve å undersøke alene.

Hva dette betyr for deg

De fleste lesere blir neppe mål for verktøy som Candirus. Men lærdommene gjelder bredt. Å holde enheter oppdatert er den enkeltstående mest nyttige vanen, og den beskytter også mot mange andre trusler.

Hvis du er journalist, aktivist, advokat eller noen andre som kan tiltrekke deg statlig interesse, bør du anta at risikoen din er høyere og handle deretter: oppdater raskt, bruk de sterkeste beskyttelsesmodusene enheten din tilbyr, og begrens sensitive data på telefonen.

Det er også verdt å være tydelig på hva en VPN gjør og ikke gjør. En VPN krypterer nettverkstrafikken din og maskerer IP-adressen din fra nettsteder og lokale nettverk. Den stopper ikke spionprogramvare som allerede kjører på enheten din, og den kan ikke forhindre et nullklikks-utnyttelse som retter seg mot programvare på selve telefonen. VPN-er er fortsatt nyttige for personvern på nett, men de er ikke et forsvar mot denne typen angrep.

Hovedpunkter

Al Jazeeras rapporterte avsløring av en Candiru-koblet kampanje mot 45 enheter er en påminnelse om at nullklikks-spionprogramvare som journalister står overfor, kan omgå selv forsiktige brukere. Behandle detaljene som under utvikling, siden det offentlige sammendraget er begrenset.

For alle med høyere risiko: bruk OS-oppdateringer så snart de er tilgjengelige, slå på Lockdown-modus hvis enheten din støtter det, start på nytt regelmessig, lagre mindre sensitive data, og forstå at en VPN ikke beskytter deg mot spionprogramvare på selve enheten.