Kaspersky: iPhones al jarenlang via zeroclick-aanval besmet met malware
IPhones zijn al vier jaar lang het doelwit van een zeroclick-aanval waarbij de telefoons zonder enige interactie van gebruikers met malware worden besmet, zo waarschuwt antivirusbedrijf Kaspersky vandaag. De aanvallers maken hierbij gebruik van een malafide iMessage-bijlage. Na een succesvolle aanval worden zowel het bericht als de bijlage met exploit verwijderd. Volgens Kaspersky zit een "advanced persistent threat" (APT) achter de aanvallen, die al sinds 2019 gaande zijn en nog steeds plaatsvinden. De Russische geheime dienst FSB beschuldigde vandaag de Amerikaanse geheime dienst NSA van het infecteren van iPhones met malware.
Kaspersky ontdekte de malware na het monitoren van het eigen bedrijfsnetwerk, waarbij verdachte activiteit van verschillende iPhones werd waargenomen. Hoewel de aanvallers uitgebreid hun best deden om sporen van de aanval te verbergen, blijven er volgens de onderzoekers sporen achter die op een infectie duiden. Zo werd achterhaald dat de aanvallers gebruikmaken van een zeroclick-exploit, waarbij er geen enkele interactie van het slachtoffer is vereist.
De aanval vindt plaats via een iMessage-bijlage, die vervolgens verschillende andere exploits downloadt om zo de malafide code met hogere rechten uit te voeren. Zodra de volledige aanval succesvol is wordt er een APT-platform op de telefoon gedownload. Wat dat platform precies doet wordt nog onderzocht. Wel is al duidelijk dat deze code met rootrechten draait, systeem- en gebruikersinformatie verzamelt en willekeurige code op de telefoon kan downloaden en uitvoeren. De malware blijkt een reboot van de telefoon niet te overleven. Uit onderzoek naar verschillende iPhones bleek dat die gedurende een langere periode meerdere keren werden besmet.
Volgens Kaspersky is het mogelijk om door middel van een back-up via iTunes of de opensourcetool idevicebackup2 infecties aan te tonen. De virusbestrijder heeft hier een uitleg voor gepubliceerd. Ook zijn verschillende domeinnamen gegeven waar besmette iPhones mee communiceren. Verdere details, zoals de kwetsbaarheid die voor de zeroclick-aanval wordt gebruikt ontbreken.
Ik zou zelfs het "bijna" weglaten.
Voordeel van Android, net als Linux trouwens: het is veel minder een monocultuur dan iOS. En je kunt de standaard sms app aanpassen om dit soort grappen uit te sluiten.
Nou knul, doe 's link naar JOUW lijst van grote projecten zonder bugs .
Dat _is_ - zo blijkt uit de lange lijst van CVEs - inderdaad fucking moeilijk.
Ook in open source projecten .
Maar ik denk dat als er toch bespioneerd wordt, dat we dan met zijn allen wel wat respect voor saaie mensen mogen tonen. En dat ze in elk geval toegang krijgen tot die gratis spyware.
Want waar zijn we anders mee bezig.
Nou knul, doe 's link naar JOUW lijst van grote projecten zonder bugs .
Dat _is_ - zo blijkt uit de lange lijst van CVEs - inderdaad fucking moeilijk.
Ook in open source projecten .
Bugs zijn onvermijdelijk, maar dat een zeroclick in je messaging app terecht komt dan maak je toch echt een ontzettende blunder! Wel eens nagedacht hoeveel mensen dit kan raken of al geraakt heeft met hoeveel gebruikers Apple wel niet heeft? Het is overigens niet de eerste keer dat er een zeroclick in Apple software zit (zie macos mail). Je mag wel wat verwachten van Apple!
Had hier wel een discussie over kunnen voeren want ik heb aan genoeg grote projecten gewerkt en nog nooit zo'n blunder gemaakt, maar dat is het punt helemaal niet! Had je een normale vraag gesteld oid dan stond ik daar wel voor open maar je wil liever gewoon je vinger wijzen. Alsof je op je pik bent getrapt, met je 'knul'.
Maar ik denk dat als er toch bespioneerd wordt, dat we dan met zijn allen wel wat respect voor saaie mensen mogen tonen. En dat ze in elk geval toegang krijgen tot die gratis spyware.
Want waar zijn we anders mee bezig.
Ik ben zelfs zo “duf en saai” dat ik iMessage heb uitgeschakeld op mijn iPhone.
En die rommel van Meta gebruik ik ook niet.
Is saai maar beter voor mijn gemoedsrust.
Als je hun business security neemt, zijn ze best wel goed en er werken echt goede experts.
Nou knul, doe 's link naar JOUW lijst van grote projecten zonder bugs .
Dat _is_ - zo blijkt uit de lange lijst van CVEs - inderdaad fucking moeilijk.
Ook in open source projecten .
Whataboutism... Doe mij ook maar eens een budget van 100 miljard euro.... dan ga ik bulletproof software maken... ECHT...
(en telefoons en smartwatches die NIET elke 6 uur aan de muur moeten bij laden... )...
En het kan, want ik heb een iwatch-cloon die 6 dagen meegaat en precies hetzelfde functioneel kan als mijn iwatch die 6 uur mee gaat. Oja, en die kostte in Taiwan 25 euro ipv de whopping 1200 euro die appel ervoor durft te vragen... net zo bagger als mijn iphone trouwens... dus ja, ik stap over op android. net zo bagger waarschijnlijk, maar ik voel me niet zo'n kneus op de basisschool die perse nike schoenen en lacoste shirt moet hebben om 'cool' te zijn. (en ik ben voor 25% van de prijs klaar.
Nou knul, doe 's link naar JOUW lijst van grote projecten zonder bugs .
Dat _is_ - zo blijkt uit de lange lijst van CVEs - inderdaad fucking moeilijk.
Ook in open source projecten .
Bugs zijn onvermijdelijk, maar dat een zeroclick in je messaging app terecht komt dan maak je toch echt een ontzettende blunder! Wel eens nagedacht hoeveel mensen dit kan raken of al geraakt heeft met hoeveel gebruikers Apple wel niet heeft? Het is overigens niet de eerste keer dat er een zeroclick in Apple software zit (zie macos mail). Je mag wel wat verwachten van Apple!
Je praat alsof de _impact_ van de bug iets te maken heeft met hoe dom/blunder/groot/klein de bug is.
Terwijl je blijkbaar wel lijkt te realiseren dat "bugs onvermijdelijk" zijn.
Je mag best 'wat' verwachten van Apple - ze doen het gemiddeld ook goed , maar zijn duidelijk niet perfect.
Had hier wel een discussie over kunnen voeren want ik heb aan genoeg grote projecten gewerkt en nog nooit zo'n blunder gemaakt, maar dat is het punt helemaal niet! Had je een normale vraag gesteld oid dan stond ik daar wel voor open maar je wil liever gewoon je vinger wijzen. Alsof je op je pik bent getrapt, met je 'knul'.
Ik heb inderdaad weinig respect voor betweterige scholieren (of hobbyisten) die zelf nog nooit wat gemaakt hebben maar wel weten hoe "dom" iets is, dan wel "bijna zeker weten dat het een bewust lek was want blijkbaar kun je anders zo'n fout niet maken" .
En JIJ praat dan over "wilt met vinger wijzen" ? ! Gotspe.
Het feit is - fouten worden gemaakt - en als je naar CVEs kijkt, en ook nog de bijbehorende bugs bekijkt (kan bij de open source projecten) - het zijn lang niet altijd "wel DUH wat een idioot was dat" fouten . Soms is er een lang (en nodig) verhaal om uit te leggen precies onder welke omstandigheden welk bij-effect leidt tot een crash (of dus security issue, als het een CVE geworden is) .
Kijk genoeg (en doe genoeg), en je wordt wat bescheidener omtrent "zou mij niet overkomen" .
Nu zit er nog steeds een paar ordegrootten tussen 'de besten' - zeker met grondige tooling/testing en 'codeslingers' , maar foiten worden gemaakt.
Ik durf met vrij grote zekerheid te stellen dat er op jouw projecten nooit manjaren van pentesten/reverse engineering gezet zijn , wanneer je stelt dat je nog nooit zo'n "blunder" gemaakt hebt .
Sorry, het is waar als je uberhaupt nog nooit wat gemaakt , of als er nog nooit echt grondig naar gezocht is dat je kunt zeggen 'zo'n blunder nog nooit gemaakt hebt'.
Mijn scriptjes hebben nog nooit een kerncentrale laten ontploffen. (duh, want daar worden ze ook niet gebruikt) .
De prijs van iOS zero days is een paar honderdduizend dollar. Vergelijkbaar, winnaars bij Pown2Own hebben vaak 6-10 maanden met enkele (erg goede) mensen gewerkt aan de exploit .
Dan trek je een heel grote broek aan wanneer je zegt dat je projecten _zo_ goed zijn dat top pentesters er met een enkele manjaren werk niks in gaan vinden .
Cq, dat wanneer iets gevonden wordt dat een "blunder" is die "haast bewust" gemaakt moet zijn.
Tegenwoordig zijn dit soort zero click met opzet in de code gezet als backdoor. Indien het door een andere partij wordt gevonden, wordt de desbetreffende feature / "bug " gepatcht
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
