Al Jazeera повідомляє, що прихована кампанія зловмисного програмного забезпечення, пов'язана з ізраїльською фірмою Candiru, заразила 45 пристроїв, що належать її журналістам і співробітникам, і викрала з них дані без будь-яких дій з боку користувачів. Це розкриття є яскравим прикладом того, як шпигунське ПЗ нульового кліку, на яке покладаються журналісти, може бути використане проти них, і чому звичайна обережність часто недостатня проти добре фінансованих атакуючих.

Наведені нижче подробиці походять із звіту, що узагальнює заяву Al Jazeera. Там, де публічні дані обмежені, ми про це зазначаємо.

Що, за словами Al Jazeera, сталося

Згідно зі звітом, Al Jazeera описала атаку нульового кліку, пов'язану з Candiru, яка скомпрометувала 45 пристроїв її журналістів. Повідомляється, що зловмисне ПЗ викрало дані без будь-якої взаємодії з користувачем. Іншими словами, постраждалим не потрібно було відкривати файл, натискати на посилання чи щось схвалювати, щоб інфекція закріпилася.

У вихідному резюме не надається подальших подробиць, зокрема про те, які операційні системи були уражені, які вразливості використовувалися, за який період відбулися зараження або хто замовив кампанію. Ми не будемо здогадуватися про ці деталі. Читачам слід сприймати цифру в 45 пристроїв як заявлену Al Jazeera і стежити за технічними оновленнями від мовника або незалежних дослідників.

Як шпигунське ПЗ нульового кліку працює без жодного дотику

Більшість людей навчилися уникати підозрілих посилань і неочікуваних вкладень. Ця порада стосується атак «одного кліку», де жертва має щось зробити. Шпигунське ПЗ нульового кліку усуває цей крок.

У загальних рисах, атаки нульового кліку використовують недоліки в програмному забезпеченні, яке автоматично обробляє вхідні дані, як-от месенджери, медіапарсери або мережеві служби. Якщо атакуючий знаходить вразливість у цій автоматичній обробці, спеціально створене повідомлення або пакет даних може запустити виконання коду на телефоні чи комп'ютері ще до того, як власник щось побачить. Може не бути жодного сповіщення, жодного дивного спливаючого вікна і жодної очевидної ознаки згодом.

Після встановлення шпигунське ПЗ цього типу зазвичай можна використовувати для читання повідомлень, збору файлів та отримання інших даних з пристрою. Повідомлення Al Jazeera про викрадення даних відповідає цій схемі.

Ключовий момент для нетехнічних читачів: це не є провалом судження користувача. Обережна поведінка не може повністю запобігти атаці, яка взагалі не потребує поведінки.

Чому журналісти є головними цілями для інструментів типу Candiru

Candiru описують як ізраїльську фірму, а інструменти подібних компаній часто називають найманим шпигунським ПЗ: потужні можливості спостереження, розроблені приватними постачальниками і продані клієнтам. Ці інструменти дорогі та складні у створенні, тому вони зазвичай націлені на невелику кількість високоцінних цілей, а не на широку громадськість.

Журналісти відповідають цьому профілю з очевидних причин. Репортери володіють чутливими матеріалами: особами джерел, неопублікованими висновками та приватними комунікаціями з людьми, які можуть наражатися на ризик. Компрометація пристроїв новинної редакції може викрити все це одразу. Один заражений телефон може розкрити не лише власну активність журналіста, а й контакти та довірчі відомості всіх, з ким він спілкується.

Масштаб, про який тут повідомляється, — 45 пристроїв в одній організації — свідчить про кампанію, націлену на всю установу, а не на одну особу. Це важливо для новинних організацій, правозахисних груп і будь-якого робочого місця, де кілька людей працюють із чутливою інформацією.

Тиск спостереження на журналістику також проявляється в інших формах. Наше висвітлення тривалого відключення інтернету в Пакистанському Кашмірі, що спирається на репортаж Al Jazeera, показує, як обмеження комунікації можуть посилювати ризики, з якими стикаються люди, намагаючись поділитися інформацією.

Що реально зменшує вашу вразливість

Жоден окремий крок не робить пристрій несприйнятливим до рішучого, добре забезпеченого ресурсами атакуючого. Але деякі заходи суттєво підвищують вартість і складність атаки.

  • Своєчасно встановлюйте оновлення ОС і додатків. Атаки нульового кліку залежать від невиправлених або невідомих недоліків. Оновлення безпеки закривають відомі дірки, а затримки залишають їх відкритими.
  • Увімкніть режим блокування, де він доступний. Деякі платформи пропонують режим екстремального захисту, який зменшує поверхню атаки шляхом обмеження певних функцій. Він обмінює зручність на безпеку, що може бути розумною угодою для людей із підвищеним ризиком.
  • Регулярно перезавантажуйте пристрої. Деяке зловмисне ПЗ не виживає після перезавантаження, тому періодичні перезапуски можуть змусити атакуючого повторно заражати.
  • Зменшуйте обсяг даних, що зберігаються на пристрої. Зникаючі повідомлення та регулярне видалення обмежують те, що може зібрати зловмисник.
  • Відокремлюйте чутливу роботу. Використання окремого пристрою для найбільш чутливих комунікацій може обмежити збитки, якщо інший пристрій скомпрометовано.
  • Повідомляйте про підозру на компрометацію. Якщо ви працюєте в новинній організації або правозахисній групі, порушуйте питання з вашою командою безпеки або фахівцем із цифрової безпеки, а не намагайтеся розслідувати самостійно.

Що це означає для вас

Більшість читачів навряд чи стануть ціллю інструментів типу Candiru. Але уроки застосовні широко. Підтримка пристроїв в актуальному стані — це найкорисніша звичка, і вона також захищає від багатьох інших загроз.

Якщо ви журналіст, активіст, юрист або хтось інший, хто може привернути інтерес на державному рівні, вважайте, що ваш ризик вищий, і дійте відповідно: оновлюйтеся швидко, використовуйте найсильніші режими захисту, які пропонує ваш пристрій, і обмежуйте чутливі дані на телефоні.

Також варто чітко розуміти, що VPN робить і чого не робить. VPN шифрує ваш мережевий трафік і маскує вашу IP-адресу від сайтів і локальних мереж. Він не зупиняє шпигунське ПЗ, яке вже працює на вашому пристрої, і не може запобігти експлойту нульового кліку, націленому на програмне забезпечення самого телефону. VPN залишаються корисними для мережевої приватності, але вони не є захистом від цього класу атак.

Ключові висновки

Заявлене Al Jazeera розкриття кампанії, пов'язаної з Candiru, проти 45 пристроїв є нагадуванням про те, що шпигунське ПЗ нульового кліку, з яким стикаються журналісти, може обійти навіть обережних користувачів. Сприймайте подробиці як такі, що розвиваються, оскільки публічне резюме обмежене.

Для всіх, хто має підвищений ризик: застосовуйте оновлення ОС щойно вони стають доступними, увімкніть режим блокування, якщо ваш пристрій його підтримує, регулярно перезавантажуйтеся, зберігайте менше чутливих даних і розумійте, що VPN не захистить вас від шпигунського ПЗ на самому пристрої.