Un hack zero-click per iPhone di NSO ha funzionato ottenendo l’accesso a HomeKit sul dispositivo.
La maggior parte degli attacchi agli iPhone si basa sull’indurre i proprietari a installare malware toccando un collegamento. Una tattica comune consiste nell’inviare un messaggio che sembra provenire da Apple, PayPal o simili.
Gli utenti iPhone più esperti e attenti alla sicurezza ne conoscono i segni, ma da tempo non esiste protezione contro i cosiddetti attacchi zero-click. Con questi, un dispositivo può essere compromesso senza che l’utente faccia nulla.
La società di spyware NSO è nota per l’utilizzo di attacchi zero-click su iPhone, molti dei quali sono stati utilizzati da governi con scarsi risultati per spiare oppositori politici, giornalisti e attivisti per i diritti umani. In questi attacchi, è sufficiente ricevere un iMessage, senza nemmeno aprirlo, per consentire l’accesso remoto al tuo iPhone.
Per proteggere coloro che hanno maggiori probabilità di essere presi di mira da questi attacchi, l’anno scorso Apple ha introdotto la modalità isolamento, un modo per limitare la funzionalità di un iPhone per ridurre al minimo il rischio di un attacco zero-click. La modalità isolamento è destinata esclusivamente a coloro che si considerano a serio rischio di sorveglianza da parte del governo. Riduce notevolmente il set di funzionalità di un iPhone, incluso il blocco della maggior parte degli allegati dei messaggi, la disabilitazione di molti siti Web e così via.
I ricercatori di sicurezza del Citizen Lab hanno rilasciato i dettagli di tre nuovi hack per iPhone zero-click di NSO. Sono stati rilevati alla fine dell’anno scorso, ma la società ha nascosto i dettagli fino a quando Apple non è stata in grado di applicare una patch a iOS per bloccarli.
Il sistema di attacco utilizzato da due dei tre attacchi sembra essere quello di inviare un iMessage contenente malware, che poi sfrutta le vulnerabilità in altre app Apple native.
“PWNYOURHOME” è stato implementato su iOS 15 e iOS 16 a partire da ottobre 2022. Sembra essere un nuovo exploit zero-click in due passaggi, con ogni passaggio mirato a un processo diverso su iPhone. Il primo passaggio è rivolto a HomeKit e il secondo è rivolto a iMessage.
“FINDMYPWN” è stato implementato su iOS 15 a partire da giugno 2022. Sembra essere sempre un exploit in due fasi; il primo passaggio si rivolge alla funzione Find my, e il secondo si rivolge a iMessage.
Il rapporto afferma che i bersagli che avevano attivato la modalità isolamento sono stati avvisati su iPhone, a conferma dell’importanza di questa funzione per determinate categorie di utenti.