Reuters: tweede spionagebedrijf gebruikte iMessage-exploits om iPhones te hacken

De kwetsbaarheden in iMessage die NSO Group gebruikte om iOS-apparaten te hacken, werden gelijktijdig ingezet door een concurrerende spywaremaker. Dat meldt Reuters op basis van eigen bronnen.

Volgens Reuters werden de kwetsbaarheden gebruikt door QuaDream, een Israëlisch surveillancebedrijf dat spyware ontwikkelt en verkoopt aan overheden, net als NSO Group. QuaDream en NSO Group begonnen vorig jaar met het inzetten van de lekken om op afstand in te breken op iPhones. Ze gebruikten daarvoor specifiek een 'zero-click' in iOS, ForcedEntry genaamd. Daarmee konden hackers toegang tot een iPhone krijgen door een speciaal iMessage-bericht te versturen, zonder dat daarvoor interactie van het slachtoffer nodig was. Die kwetsbaarheden zijn in iOS 14.8 gepatcht.

QuaDream en NSO Group zouden 'veel van dezelfde kwetsbaarheden' in Apples berichtendienst hebben gebruikt en een soortgelijke methode hebben ingezet om hun spyware te installeren op de toestellen van slachtoffers. Een securityonderzoeker van het Canadese Citizen Lab, dat de ForcedEntry-exploit heeft ontdekt, vertelt aan Reuters dat de spyware van QuaDream 'op gelijke voet stond' met de spionagesoftware van NSO Group.

Een woordvoerder van NSO Group meldt tegenover Reuters dat het bedrijf niet heeft samengewerkt met QuaDream bij het ontwikkelen van spyware. QuaDream heeft niet gereageerd. Apple wilde tegenover Reuters ook niet reageren en kon niet zeggen welke maatregelen Apple eventueel tegen QuaDream neemt. Eind vorig jaar klaagde Apple NSO Group aan wegens zijn gebruik van de ForcedEntry-exploit. Via de rechter wil Apple afdwingen dat de spywaremaker geen gebruik meer mag maken van Apples software, diensten en apparaten. Dat deed het bedrijf nadat de spionagesoftware van NSO Group meermaals in opspraak kwam; onder meer journalisten, zakenlieden, politici en mensenrechtenactivisten zouden het doelwit zijn geweest van spionage via spyware van het bedrijf.

Reacties (32)

[Faust]

Wellicht sprak de FBI dan toch de waarheid

nieuws: FBI kocht omstreden spionagesoftware Pegasus van NSO Group 'om te eva...

Overigens ben ik erg blij dat ik geen klokkenluider, journalist of andere vijand van het westen ben. Ik update mijn apparaten altijd direct maar dit soort software en hieraan gekoppelde onthullingen tonen toch aan dat zelfs iOS niet veilig is.

[bbob]

Maakt niet uit wie je bent, zelf in het westen ben je voor de ene vriend voor de ander niet.

Naast de FBI zijn er natuurlijk ook andere diensten en misschien maken die er wel gebruik van. Kan me eigenlijk niet voorstellen dat de USA er op de ene of andere manier geen gebruik van zou maken. Spionage en toegang tot systemen is een onderdeel van veel landen en USA hoort bij de koplopers op dat gebied.

[Faust]

Ze zullen zeker allerlei gegevens bezitten of proberen te verkrijgen, maar van de andere kant; hoe verwacht je dat ze de vrije wereld kunnen beschermen tegen China, Rusland, Iran, Noord-Korea, kindermisbruik én terrorisme?

“Privacy is een modern schild voor slechteriken en communisten.” Aldus de FBI en verschillende regeringen

[bbob]

pff daar hebben we kindermisbruik en terrorisme weer. Ja dat is er maar als je tegelijk weet dat deze software ook op grote schaal misbruikt wordt voor journalisten en andere kritische personen.

De term vrije wereld is ook zo een mooie term, beschrijf vrije wereld eens als het land waar jij het over hebt USA dat in de praktijk niet echt is. Black Live Matters is maar klein voorbeeld van nog steeds bestaande verschillen tussen groepen in de "vrije wereld"

Staar je a.u.b niet te veel blind om geheime diensten die het voor de vrij wereld doen, uiteindelijk krijg je dan een wereld waarin hun bepalen wat goed en slecht is en dat exact hetzelfde worden als de landen waar je het over hebt.

[surfin]

Ik proef enige vorm van sarcasme in de reactie van @Faust

[ALittleTooLate]

slechteriken gebruiken zuurstof om te ademen. Ik hoop dat ze hier iets aan doen.

[bbob]

Die verhuis je naar een locatie naast de hoogovens in IJmuiden, daar zit schijnbaar een boel zooi in de lucht waardoor de kans op sterfte / ziekten groter is.

[Pbkr1964]

geen privacy en je bent netzo als china en rusland. een staat die iedereen overal monitort.

[tom.cx]

Het uptodate houden van je apparaten is natuurlijk belangrijk. Echter ... als er gebruik wordt gemaakt van bugs die helemaal niet bekend zijn kan het even duren voordat er een patch voor is.

[MrMonkE]

Ja, soms zijn er patches voor code die jaren oud is.
Ik meen me een bug in de Windows netwerk code te herinneren die er sinds windows95(?98?) in zat.
En dat was een jaar of 3 4 terug schat ik.

[W00fer]

In de bekende SMB code zat een bug die er ook al jaren in zat.
Ook de bekende Bluetooth hacks zitten er al in sinds v1

nieuws: Onderzoekers: vrijwel ieder apparaat met Bluetooth kwetsbaar voor nie...

nieuws: Onderzoekers ontdekken kwetsbaarheden die duizenden bluetoothapparate...

[Reactie gewijzigd door W00fer op 26 juli 2024 05:50]

[Audione0]

Ik kan hier/mag hier niet iets inhoudelijk iets over vertellen, maar mijn security awareness achtergrond leert mij dat elk apparaat binnen een paar luttele seconden gehackt is. En het is naïef te denken dat een iOS of OSX apparaat de dans ontspringt. Social engineering is tevens een begrip wat de aandacht verdient...

Als je naar het buitenland voor werk moet en je bent met projecten bezig die wat gevoelig liggen, bijvoorbeeld defensie projecten, laat je werk telefoon lekker uit, of zelfs thuis.

[Reactie gewijzigd door Audione0 op 26 juli 2024 05:50]

[Iblies]

Lees je in in de cloud-act.
De VS mag in geval van nood op servers van VS-bedrijven kijken ongeacht locatie.

Cloud-act 🙂
https://en.wikipedia.org/wiki/CLOUD_Act

De VS kan in eigen land met de privacy gaan schermen dat het zo belangrijk is,
maar het heeft geen inhoud meer, helemaal niet als je een niet-VS’ser bent want dan ben je kansloos, zelfs de EU heeft er moeite mee en gooit er zoveel mogelijk mitsen en maren tegenaan.


Hoe vaker dit soort bedrijven door de media naar buiten worden gebracht, hoe achterdochtiger ik wordt want de software is gewoon in huidige vorm verre van veilig en de focus zit op compleet andere zaken zoals emojis en het nieuwste speeltje “metaverse” waar miljarden tegenaan worden gegooid. En gaat de een failliet, komen er 3 voor in de plaats in verschillende landen.


Ondertussen,
nieuws: Olieopslagplaatsen in Terneuzen en Gent hebben vertragingen na cybera...

Niet de eerste keer en zeker niet de laatste keer. Je kunt daar een bak geld tegenaan gooien met extra hardware en firewalls etc, maar dat is symptoombestrijding.

[Vlad86]

Ahja, update kan natuurlijk ook een nieuwe kwetsbaarheid introduceren. Dus zekerheden heb je helaas niet.

[RippleXRP]

En weer een mythe debunked dat iphones veilig(er) zouden zijn. Geen enkele smarpthone is veilig.

[guanche]

Veiliger is een relatief concept, dus ik vraag me af wat er “debunked” is, kijkend naar een breder ecosysteem en de geschiedenis. De open deur intrappen dat geen enkel systeem veilig is voegt daar natuurlijk niks aan toe.

[RippleXRP]

Hoe vaak ik niet heb gelezen dat iphones geen anti-virus software nodig hebben of anti-malware. Er is gewoon een (grote) groep Apple fans die er van overtuigd is dat iphones veilig(er) zijn. Die mythe doel ik op

Breder eco-systeem dan wie? Apple heeft niet zo'n breed eco-systeem. Die van concurrent Samsung is bijvoorbeeld veel groter en breder.

[MazDaMan1970]

Ansich zal iOS niet veiliger zijn dan Android. iOS is naar mijn mening wel iets veiliger, omdat side-loading niet toegestaan is & je alleen maar Apps uit de Appstore kan installeren.

[alionfire]

Je kan prima sideloaden op een iOS apparaat, hetzij het iets meer stappen vereist dan op een Android.

[Godson-2]

Een micro-kernel besturingssysteem is wel veilig.

Ik ga heel erg opletten hoeveel inbraken er zijn op Google's nieuwe Fuchsia OS. Ook Minix, welke in alle Intel processoren ingebakken zit, heeft vrijwel geen beveiligingsfouten.

[HoppyF]

Het ontwikkelen van spyware is een criminele activiteit omdat je hiermee kwetsbaarheden probeert uit te buiten voor eigen gewin. Bij wet zouden hierop hoge straffen moeten staan.
In het illegale circuit zullen er uiteraard hackers actief blijven. Dat is niet te voorkomen maar evenzogoed strafbaar als ze ontdekt of opgepakt worden.

[SunnieNL]

Bij wet kun je daar niet direct hoge straffen op zetten.
Als ik moet aantonen dat er een kwetsbaarheid voor is die grote gevolgen kan hebben, dan ontwikkel je een exploit om dat aan te tonen. Die exploit is vrijwel de code waar de spyware gebruik van maakt. Dus waar trek je dan de grens?
Volgens jouw ben ik al strafbaar, want ik moet blijkbaar bewijzen dat ik niet bezig ben met het schrijven van spyware.
En wat als ik dezelfde code gebruik om telefoons van overleden mensen te openen voor de nabestaanden? Zodat die toegang krijgen tot foto's, contactpersonen (iets met begravenis uitnodigingen), socialmedia accounts etc. Ben ik dan ook strafbaar omdat ik dezelfde code gebruik of mogelijk zelfs de spyware gebruik om in die telefoon te komen?

[Flagg]

Je zegt het alsof je het doodnormaal is dat je de hardware van een overledene hacked voor de nabestaanden?

Dat is niet normaal hoor, dat je bij wet misschien geen recht op privacy hebt na je dood wil niet zeggen dat het niet verwerpelijk is.

Buiten dat je niet eens weet of dat daadwerkelijk de telefoon van een nabestaande is of van een ex...

[SunnieNL]

Op het moment dat iemand overleden is en jij de producten erft, dan ben jij eigenaar en mag je er volgens mij mee doen wat je wilt. Dus als jij die laat unlocken dan is dat strafrechtelijk niet echt een probleem voor het bedrijf wat die unlock doet. Die doet het immers in opdracht van de eigenaar op dat moment.
Wat jij daarna met de gegevens doet op de unlocked telefoon, dat is een totaal ander verhaal.

Wat overigens niet inhoud dat het normaal is. Dat zeg ik niet. Maar veel mensen vergeten dat soort dingen wel te regelen.

[HoppyF]

Je bent inderdaad strafbaar als je je bewust met exploits e.d. toegang verschaft tot een smartphone of iets dergelijks. Je hebt daar immers niets te zoeken ook niet als je geen kwade bedoelingen hebt.

[SunnieNL]

dat ligt er maar aan wiens telefoon het is

[Indentical]

En wat als ik dezelfde code gebruik om telefoons van overleden mensen te openen voor de nabestaanden? Zodat die toegang krijgen tot foto's, contactpersonen (iets met begravenis uitnodigingen), socialmedia accounts etc.

Je bent inderdaad strafbaar als je je bewust met exploits e.d. toegang verschaft tot een smartphone of iets dergelijks. Je hebt daar immers niets te zoeken ook niet als je geen kwade bedoelingen hebt.

Dat is wel een raar antwoord op iets wat ik zie als een dienstverlening in opdracht van de nabestaande, de huidige eigenaren van de smartphone in dit voorbeeld.

[HoppyF]

Je gaat er hier vanuit dat de overlevende toestemming heeft gegeven om zijn/haar gegevens over te dragen aan de nabestaanden. Waarschijnlijk is dat niet eens zo want dan zou het immers ergens vermeld moeten staan denk aan een testament. Het wachtwoord of benodigde codes zouden dan ook in het testament of bijlagen kunnen staan.
Veel op dit gebied is nog niet echt goed geregeld maar het zou goed zijn om daar wel eens aandacht aan te gaan besteden.

[Iblies]

Dan ben je heel naïef.

Een land als Rusland heeft expertise genoeg om zich in te verdiepen,
Iran is te vergelijken met China met een redelijk zelfstandig netwerk en per definitie veel meer expertise,
Noord-Korea is er consequent mee bezig en heeft er complete teams op gezet,
India wordt er ook steeds meer bewust van en ook daar ontstaat steeds meer specialisme,

daarnaast is het bij wet verplicht om inkijk te geven in bepaalde data mbt telecomgegevens,
Huawei installeert dat ook netjes en overal (en kunnen volgens sommige ook vanuit china meekijken).


Veel beter zou het zijn dat er kale versies van OS’sen komen zonder emojis, 3d effecten, games, media players, en allerlei andere ongein. Zakelijk en simpel,
moment dat het misgaat is de kans kleiner op een sneeuwbaleffect.

[sfc1971]

Dus de uitvinder van de koevoet is volgens jou een crimineel? Lockpickinglawyer is een crimineel?

[Karel Knip]

Wel weer geestig dat je Westerse functionarissen vaak hoort mopperen over hackersgroepen uit Rusland of China die niet aangepakt worden door hun overheden, terwijl ze onder eigen neus gewoon openlijk een bedrijf runnen, de benodigde vergunningen krijgen, en zaken doen met politie.

[Reactie gewijzigd door Karel Knip op 26 juli 2024 05:50]