Al Jazeera сообщает, что скрытая вредоносная кампания, связанная с израильской фирмой Candiru, заразила 45 устройств, принадлежащих ее журналистам и сотрудникам, и извлекла с них данные без каких-либо действий со стороны пользователей. Это разоблачение — яркий пример того, как шпионское ПО с нулевым кликом, на которое полагаются журналисты, может быть обращено против них, и почему обычной осторожности зачастую недостаточно против хорошо финансируемых атакующих.

Приведенные ниже подробности взяты из отчета, обобщающего заявление Al Jazeera. Там, где публичная информация скудна, мы об этом говорим.

Что, по словам Al Jazeera, произошло

Согласно отчету, Al Jazeera описала атаку с нулевым кликом, связанную с Candiru, которая скомпрометировала 45 устройств ее журналистов. Сообщается, что вредоносное ПО exfiltrировало данные без какого-либо взаимодействия с пользователем. Иными словами, пострадавшим не нужно было открывать файл, нажимать на ссылку или что-либо одобрять, чтобы заражение произошло.

В сводке источника не приводится дополнительных подробностей, таких как: какие операционные системы были затронуты, какие уязвимости использовались, за какой период произошли заражения или кто заказал кампанию. Мы не собираемся угадывать эти детали. Читателям следует воспринимать цифру в 45 устройств как заявленное утверждение Al Jazeera и следить за техническими продолжениями от вещателя или независимых исследователей.

Как работает шпионское ПО с нулевым кликом без единого нажатия

Большинство людей научились избегать подозрительных ссылок и неожиданных вложений. Этот совет нацелен на атаки «в один клик», где жертва должна что-то сделать. Шпионское ПО с нулевым кликом убирает этот шаг.

В общих чертах, атаки с нулевым кликом используют недостатки в программном обеспечении, которое автоматически обрабатывает входящие данные, например, в приложениях для обмена сообщениями, парсерах медиа или сетевых службах. Если атакующий находит уязвимость в этой автоматической обработке, специально созданное сообщение или пакет данных может вызвать выполнение кода на телефоне или компьютере до того, как владелец что-либо увидит. Уведомления может не быть, странного всплывающего окна может не появиться, и никаких очевидных признаков afterward может не быть.

После установки шпионское ПО такого рода обычно можно использовать для чтения сообщений, сбора файлов и получения других данных с устройства. Сообщение Al Jazeera об exfiltrации данных соответствует этой схеме.

Ключевой момент для нетехнических читателей: это не провал пользовательского суждения. Осторожное поведение не может полностью предотвратить атаку, которая вообще не требует поведения.

Почему журналисты — главные цели для инструментов в стиле Candiru

Candiru описывается как израильская фирма, а инструменты подобных компаний часто называют наемным шпионским ПО: мощные возможности наблюдения, разработанные частными поставщиками и продаваемые клиентам. Эти инструменты дороги и сложны в создании, поэтому они, как правило, нацелены на небольшое число высокоценных целей, а не на широкую публику.

Журналисты соответствуют этому профилю по очевидным причинам. Репортеры располагают конфиденциальными материалами: личностями источников, неопубликованными выводами и частными коммуникациями с людьми, которые могут подвергаться риску. Компрометация устройств новостной редакции может раскрыть все это сразу. Один зараженный телефон может выявить не только активность самого журналиста, но и контакты и доверительные сведения всех, с кем он общается.

Масштаб, о котором здесь сообщается, — 45 устройств в одной организации — говорит о кампании, нацеленной на целое учреждение, а не на одного человека. Это важно для новостных организаций, правозащитных групп и любого рабочего места, где несколько человек работают с конфиденциальной информацией.

Давление наблюдения на журналистику проявляется и в других формах. Наш материал о затянувшемся отключении интернета в управляемом Пакистаном Кашмире, основанный на репортажах Al Jazeera, показывает, как ограничения на коммуникацию могут усугублять риски, с которыми сталкиваются люди при попытке поделиться информацией.

Что реально снижает вашу подверженность риску

Ни один отдельный шаг не делает устройство невосприимчивым к целеустремленному, хорошо обеспеченному ресурсами атакующему. Но некоторые меры существенно повышают стоимость и сложность атаки.

  • Своевременно устанавливайте обновления ОС и приложений. Атаки с нулевым кликом зависят от неисправленных или нераскрытых уязвимостей. Обновления безопасности закрывают известные дыры, а задержки оставляют их открытыми.
  • Включайте режим блокировки (Lockdown Mode), где он доступен. Некоторые платформы предлагают режим экстремальной защиты, который сокращает поверхность атаки за счет ограничения определенных функций. Он обменивает удобство на безопасность, что может быть разумной сделкой для людей с повышенным риском.
  • Регулярно перезагружайте устройства. Некоторые вредоносные программы не выживают после перезагрузки, поэтому периодические перезапуски могут заставить атакующего заражать заново.
  • Сократите объем данных, хранящихся на устройстве. Исчезающие сообщения и регулярное удаление ограничивают то, что может собрать злоумышленник.
  • Разделяйте конфиденциальную работу. Использование выделенного устройства для наиболее конфиденциальных коммуникаций может ограничить ущерб, если другое устройство скомпрометировано.
  • Сообщайте о подозрениях на компрометацию. Если вы работаете в новостной организации или правозащитной группе, поднимайте вопросы перед вашей командой безопасности или специалистом по цифровой безопасности, а не пытайтесь расследовать в одиночку.

Что это значит для вас

Большинство читателей вряд ли станут целью инструментов вроде Candiru. Но уроки применимы широко. Поддержание устройств в актуальном состоянии — единственная наиболее полезная привычка, и она защищает также от многих других угроз.

Если вы журналист, активист, юрист или кто-то еще, кто может привлекать интерес на государственном уровне, исходите из того, что ваш риск выше, и действуйте соответственно: обновляйтесь быстро, используйте самые сильные режимы защиты, которые предлагает ваше устройство, и ограничивайте конфиденциальные данные на телефоне.

Также стоит четко понимать, что VPN делает и чего не делает. VPN шифрует ваш сетевой трафик и скрывает ваш IP-адрес от сайтов и локальных сетей. Он не останавливает шпионское ПО, уже работающее на вашем устройстве, и не может предотвратить эксплойт с нулевым кликом, нацеленный на программное обеспечение самого телефона. VPN остаются полезными для сетевой приватности, но они не являются защитой от этого класса атак.

Ключевые выводы

Сообщенное Al Jazeera разоблачение связанной с Candiru кампании против 45 устройств — напоминание о том, что шпионское ПО с нулевым кликом, с которым сталкиваются журналисты, может обойти даже осторожных пользователей. Относитесь к деталям как к развивающейся истории, поскольку публичная сводка ограничена.

Для всех, кто подвержен повышенному риску: устанавливайте обновления ОС, как только они доступны, включайте режим блокировки, если ваше устройство его поддерживает, регулярно перезагружайтесь, храните меньше конфиденциальных данных и понимайте, что VPN не защитит вас от шпионского ПО на самом устройстве.