Hackere indlæser spyware på fuldt patchede iPhones, hvilket viser, at ingen er sikre

Der er den udbredte opfattelse, at iPhones ikke kun er sikrere mod hackere end Android-telefoner, men at de er fuldstændig sikre og uhackbare.

Hvert år hos Pwn2Own er denne idé bevist forkert, men disse hacks er normalt i laboratoriemiljøer og ikke i naturen.

Der har dog været en stigende stigning i politisk motiverede statssponsorerede hacks, og disse hackere demonstrerer i stigende grad, at ingen smartphone er immun over for malware, og at en vis grad af paranoia er nødvendig for smartphonebrugere på enhver platform.

I en udviklingshistorie fik et stort antal journalister og aktivister deres iPhones hacket af Pegasus spyware, udviklet af israelske hackere NSO Group.

Pegasus leveres i et nul-klik-angreb af en tavs iMessage-besked, og når den først er på plads, kan den indsamle e-mails, opkaldsregistreringer, opslag på sociale medier, brugeradgangskoder, kontaktlister, billeder, videoer, lydoptagelser og browserhistorik. Den kan endda aktivere kameraer eller mikrofoner og lytte til opkald og voicemails. Det kan også indsamle lokationslogs over, hvor en bruger har været, og også bestemme, hvor brugeren er nu, sammen med data, der angiver, om personen står stille, eller, hvis den bevæger sig, i hvilken retning.

NSO Group kan have rettet sig mod 50,000 mennesker efter en liste frigjort fra virksomheden. Hacket er effektivt selv mod de nyeste iPhones, hvor hackere tilsyneladende er i stand til at omgå Apples seneste sikkerhedsopdateringer i løbet af en årrække, hvilket udfordrer virksomhedens ry for sikkerhed og privatliv.

En undersøgelse foretaget af Amnestys sikkerhedslaboratorium af 67 smartphones viste, at 23/34 iPhones var succesfuldt inficeret, mens kun 3/15 Android-enheder var inficeret (selvom beviser måske bedre var skjult på disse enheder).

Ivan Krsti, leder af Apple Security Engineering and Architecture, forsvarede sin virksomheds sikkerhedsindsats.

"Apple fordømmer utvetydigt cyberangreb mod journalister, menneskerettighedsaktivister og andre, der søger at gøre verden til et bedre sted. I mere end et årti har Apple ledet branchen inden for sikkerhedsinnovation, og som et resultat er sikkerhedsforskere enige om, at iPhone er den sikreste og mest sikre forbrugermobilenhed på markedet, siger han i en erklæring. “Angreb som de beskrevne er meget sofistikerede, koster millioner af dollars at udvikle, har ofte en kort holdbarhed og bruges til at målrette mod specifikke individer. Selvom det betyder, at de ikke er en trussel mod det overvældende flertal af vores brugere, fortsætter vi med at arbejde utrætteligt for at forsvare alle vores kunder, og vi tilføjer konstant nye beskyttelser til deres enheder og data."

Rapporter om hacks til iPhones er vokset i de senere år, men efterhånden som sikkerhedsforskere har opdaget beviser for, at angribere havde fundet sårbarheder i så udbredte iPhone-apps som iMessage, Apple Music, Apple Photos, FaceTime og Safari-browseren, hvor iMessage spillede en rolle i 13. af de 23 vellykkede infiltrationer af iPhones.

"De kan ikke gøre iMessage sikkert," sagde Matthew Green, professor i sikkerhed og kryptologi ved Johns Hopkins University. "Jeg siger ikke, at det ikke kan rettes, men det er ret dårligt."

"Din iPhone og en milliard andre Apple-enheder ud af kassen kører automatisk berømt usikker software for at få vist iMessages, uanset om du stoler på afsenderen eller ej," sagde sikkerhedsforsker Bill Marczak, en fellow ved Citizen Lab, en research institut baseret på University of Toronto's Munk School of Global Affairs & Public Policy. "Enhver Computer Security 101-studerende kunne se fejlen her."

Apple siger, at det stærkt begrænser koden, som en iMessage kan køre på en enhed, og at den har beskyttelse mod malware, der ankommer på denne måde. Andre beskedapps anmoder om godkendelse, før de viser beskeder fra fremmede, men da iMessage erstatter SMS, som er en åben protokol, er dette upraktisk. Apple ville ikke kommentere på at begrænse beskeder fra afsendere, der ikke er i en persons adressebog.

Nogle sikkerhedsforskere har sagt, at Apples sandkasse faktisk gør iPhones mere usikre, da det er umuligt for tredjeparts malware-scanningsapps til fuldt ud at scanne iPhones. Hvad der dog klart er sandt, er, at virkeligheden har bevist, at Apple trods deres markedsføring primært har været gode til at tilbyde en falsk følelse af sikkerhed.

via The Washington Post