Nghiên cứu mới được chia sẻ với Axios cho thấy tin tặc đang tìm ra những cách mới để lây nhiễm spyware vào iPhone, ngay cả khi nạn nhân không bao giờ nhấp vào liên kết độc hại. Phát hiện này chỉ ra một xu hướng đáng lo ngại trong spyware iPhone không cần nhấp chuột khi duyệt web, nơi chỉ cần tải một trang web có thể đủ để đặt thiết bị vào vòng nguy hiểm.

Các chi tiết có sẵn từ báo cáo còn hạn chế, vì vậy bài viết này chỉ bám sát những gì đã được công bố và giải thích ý nghĩa của chúng trên thực tế.

Chỉ duyệt web có thể lây nhiễm iPhone như thế nào

Tuyên bố cốt lõi trong nghiên cứu là tin tặc có thể phân phối spyware đến iPhone mà nạn nhân không cần nhấp vào liên kết độc hại. Trong một cuộc tấn công lừa đảo điển hình, người dùng phải thực hiện một hành động: nhấp vào liên kết, mở tệp hoặc phê duyệt lời nhắc. Ở đây, bước đó được cho là đã bị loại bỏ khỏi quy trình.

Điều đó quan trọng vì hầu hết lời khuyên bảo mật đều tập trung vào hành vi người dùng: không nhấp vào liên kết đáng ngờ, không mở tệp đính kèm không rõ nguồn gốc. Những thói quen đó vẫn hữu ích, nhưng chúng bảo vệ ít hơn khi một cuộc tấn công được thiết kế để hoạt động trong nền trong khi ai đó duyệt web bình thường.

Trình duyệt là nơi tự nhiên cho kiểu tấn công này. Nó liên tục xử lý nội dung không đáng tin cậy từ khắp internet, bao gồm các trang, script, hình ảnh và quảng cáo. Nếu kẻ tấn công tìm thấy một lỗ hổng trong cách xử lý nội dung đó, một trang được cài bẫy có thể chạy mã trên thiết bị. Chúng tôi đã đề cập cách kẻ tấn công đang thay đổi phương thức phân phối dựa trên trình duyệt trong báo cáo về tin tặc hiện lắp ghép malware trong trình duyệt, và nguyên tắc tương tự cũng áp dụng ở đây: bản thân trình duyệt trở thành tuyến phân phối.

Bản tóm tắt mà chúng tôi xem xét không nêu tên các lỗ hổng, nhóm mối đe dọa hoặc nạn nhân cụ thể, vì vậy chúng tôi sẽ không suy đoán về chúng.

Ai có nguy cơ cao nhất từ spyware này

Loại spyware này trong lịch sử thường gắn với giám sát có mục tiêu hơn là lây nhiễm hàng loạt, nhưng bản tóm tắt nghiên cứu không cho biết ai là mục tiêu trong trường hợp này. Chúng tôi không thể đưa ra tuyên bố về nạn nhân cụ thể.

Điều có thể nói là bất kỳ ai duyệt web trên iPhone đều phải đối mặt với nhóm rủi ro chung, vì đường tấn công đi qua hoạt động duyệt web thông thường. Những người có vị thế cao hơn, như nhà báo, nhà hoạt động, giám đốc điều hành và nhân viên chính phủ, thường có nhiều lý do hơn để áp dụng các biện pháp phòng ngừa bổ sung, vì họ có nhiều khả năng được các kẻ tấn công có nguồn lực quan tâm hơn.

Với hầu hết mọi người, rủi ro thực tế có thể thấp hơn so với các nhóm đó, nhưng bài học vẫn như nhau: giả định an toàn nhất là một thiết bị chưa được vá là một thiết bị yếu hơn.

VPN ngăn chặn và không ngăn chặn điều gì

Đây là nơi kỳ vọng cần phải thực tế. VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và ẩn địa chỉ IP của bạn khỏi các trang bạn truy cập. Điều đó có giá trị cho quyền riêng tư trên Wi-Fi công cộng và để hạn chế những gì nhà cung cấp internet của bạn có thể thấy.

Nhưng VPN không khắc phục lỗ hổng trong trình duyệt hoặc hệ điều hành của bạn. Nếu một trang độc hại khai thác lỗ hổng trong cách iPhone của bạn xử lý nội dung web, khai thác sẽ đến qua kết nối mà bạn đã chọn thực hiện, bất kể kết nối đó có được mã hóa hay không. Đường hầm VPN mang trang đến thiết bị của bạn giống như nó mang bất kỳ trang nào khác.

VPN có thể cung cấp một số trợ giúp gián tiếp nếu nó bao gồm tính năng chặn tùy chọn các miền độc hại đã biết, mặc dù điều đó phụ thuộc vào dịch vụ và không thay thế cho việc vá lỗi. DNS mã hóa, được giải thích trong mục thuật ngữ của chúng tôi về DNS qua HTTPS, giữ việc tra cứu riêng tư khỏi bên thứ ba, nhưng nó cũng không ngăn được khai thác trình duyệt.

Tóm lại: VPN là công cụ bảo mật quyền riêng tư, không phải biện pháp phòng vệ chống lại khai thác không cần nhấp chuột. Cập nhật phần mềm là biện pháp phòng vệ chính. Để có ví dụ tương đương về cách kẻ tấn công chuỗi các lỗ hổng trình duyệt, hãy xem bài viết của chúng tôi về tin tặc Trung Quốc khai thác lỗ hổng zero-day của Chrome và Windows.

Các bước bảo vệ iPhone của bạn ngay bây giờ

Bạn không thể kiểm soát liệu một lỗ hổng có tồn tại hay không, nhưng bạn có thể thu hẹp khoảng thời gian mà nó hữu ích cho kẻ tấn công.

  • Cài đặt bản cập nhật iOS mới nhất. Bản vá bảo mật là biện pháp bảo vệ trực tiếp nhất chống lại khai thác dựa trên trình duyệt.
  • Bật cập nhật tự động. Vào Cài đặt, sau đó Cài đặt chung, sau đó Cập nhật phần mềm, và bật cập nhật tự động để bạn không bị tụt lại phía sau.
  • Cân nhắc Chế độ Khóa nếu bạn có nguy cơ cao. Chế độ Khóa của Apple là một cài đặt tùy chọn giúp giảm bề mặt tấn công của thiết bị. Nó hạn chế một số tính năng, vì vậy nó phù hợp với những người có hồ sơ mối đe dọa cao hơn thay vì tất cả mọi người.
  • Khởi động lại iPhone của bạn thỉnh thoảng. Đây là thói quen vệ sinh chung và không đảm bảo loại bỏ.
  • Giữ ứng dụng được cập nhật và xóa những ứng dụng bạn không sử dụng.

Điều này có nghĩa gì với bạn

Điểm mấu chốt là "không nhấp vào liên kết đáng ngờ" không còn đủ một mình. Nếu nghiên cứu đúng, việc duyệt web thông thường có thể là một phần của chuỗi tấn công. Điều đó không có nghĩa là bạn nên ngừng sử dụng điện thoại hoặc hoảng loạn. Nó có nghĩa là thói quen cập nhật của bạn quan trọng hơn bao giờ hết, và bạn nên coi VPN là một lớp bảo mật quyền riêng tư thay vì lá chắn chống lại spyware.

Kết luận

Spyware iPhone không cần nhấp chuột khi duyệt web là lời nhắc rằng trình duyệt là một trong những phần dễ bị tổn thương nhất của bất kỳ thiết bị nào. Hãy cài đặt bản cập nhật iOS mới nhất ngay hôm nay, bật cập nhật tự động và bật Chế độ Khóa nếu bạn tin rằng mình có thể là mục tiêu. Để biết thêm bối cảnh về cách các cuộc tấn công dựa trên trình duyệt hoạt động, hãy đọc các bài viết của chúng tôi về lắp ghép malware trong trình duyệt và chiến dịch khai thác lỗ hổng zero-day của Chrome.