De Israëlische spywaremaker NSO Group heeft vorig jaar drie nieuwe zeroclickexploits in iOS 15 en 16 ontwikkeld om spyware te verspreiden. Dat blijkt uit onderzoek van The Citizen Lab. NSO Group zou daarvoor kwetsbaarheden in HomeKit en Apples Find My-functie gebruiken.
In totaal heeft NSO Group vorig jaar zeker drie nieuwe exploitchains ingezet voor zijn spyware, schrijft mensenrechtenorganisatie The Citizen Lab. Het betreffen zeroclickexploits, waarbij geen tussenkomst van het slachtoffer nodig is. Het onderzoeksinstituut begon in oktober 2022 een onderzoek naar de nieuwe activiteiten van NSO Group, in samenwerking met de Mexicaanse organisatie R3D. Een aantal Mexicaanse activisten die zich uitspreken tegen de mensenrechtenschendingen door het Mexicaanse leger, zou via nieuwe exploits geïnfecteerd zijn met de Pegasus-spyware.
PwnYourHome op iOS 15 en 16
Een van de nieuwe exploits betreft een iOS-zeroclick genaamd PwnYourHome. Die kwetsbaarheid wordt sinds oktober 2022 ingezet tegen iOS 15 en iOS 16, meldt het Canadese onderzoeksinstituut. Het betreft een nieuwe aanvalsketen die uitgebuit kan worden in twee stappen. De eerste stap is gericht op het laten crashen van de HomeKit-daemon. Stap twee is gericht op iMessage via het MessagesBlastDoorService-proces. De telefoon zou daarbij een png-afbeelding downloaden, waarna ook dit proces wordt afgesloten. De PwnYourHome-exploit weet uiteindelijk de BlastDoor-sandbox te ontsnappen en de Pegasus-spyware aan te zetten via het mediaserverd-proces.
De PwnYourHome-kwetsbaarheid zou ook uitgebuit kunnen worden als een slachtoffer nooit een thuis heeft aangemaakt in HomeKit, maar zou in bepaalde gevallen wel het e-mailadres van de aanvaller loggen. Apples lockdownmodus in iOS, die is gericht op gebruikers die een verhoogd risico lopen op gerichte cyberaanvallen, lijkt gebruikers te beschermen tegen PwnYourHome. Deze modus maakt tekenen van een hackpoging zichtbaar voor de gebruiker. The Citizen Lab heeft geen bewijs gezien voor geslaagde PwnYourHome-aanvallen op iPhones in lockdownmodus. Apple heeft het HomeKit-probleem opgelost in iOS 16.3.1.
FindMyPwn en LatentImage op iOS 15
Een tweede zeroclickexploit, genaamd FindMyPwn, is een zeroday die werd ingezet tegen iOS 15 en gebruikmaakt van Apples Find My-functie. The Citizen Lab schrijft dat ook deze exploit uitgebuit kan worden in twee stappen. Dit begint met het sluiten en opnieuw starten van het fmfd-proces, dat wordt gebruikt met de ingebouwde Find My-functionaliteit van iPhones. Nadat dat is gebeurd, geven telefoonlogs volgens The Citizen Lab aan dat het MessageBlastDoorService-proces opnieuw is gestart. Dat wijst erop dat de kwetsbaarheid ook hierbij gebruikmaakt van iMessage om Pegasus-spyware te installeren.
The Citizen Lab kwam later ook sporen tegen van een eerste zeroclick die NSO Group vorig jaar gebruikte. Deze wordt LatentImage genoemd en lijkt ook gebruik te maken van Find My, hoewel deze exploit anders werkt dan FindMyPwn. LatentImage lijkt volgens The Citizen Lab weinig sporen achter te laten op een geïnfecteerd apparaat. Met de exploit wordt het fmfd-proces afgesloten en opnieuw gestart, hoewel onduidelijk is wat de aanvalsvector daarvoor is. LatentImage wordt eveneens gebruikt om de Pegasus-spyware te installeren. De exploit is door The Citizen Lab geïdentificeerd op het apparaat van een enkel doelwit, dat gebruikmaakte van iOS 15.1.1.
Opspraak NSO Group
The Citizen Lab heeft zijn bevindingen gedeeld met Apple. Een woordvoerder van de techgigant zegt tegen The Wall Street Journal dat de kwetsbaarheden 'een zeer klein aantal' van zijn klanten troffen. The Citizen Lab raadt gebruikers die een verhoogd risico op gerichte hackaanvallen lopen, aan om Apples lockdownmodus te gebruiken.
De spyware van NSO Group is al langer in opspraak. In 2021 concludeerden verschillende journalistieke media en mensenrechtenorganisatie Amnesty International dat de spyware is ingezet bij hackpogingen op zeker 37 journalisten en activisten. The Citizen Lab claimde in 2020 al dat zeker 36 journalisten van Al Jazeera en het Britse Al Araby TV aangevallen zouden zijn met de Pegasus-malware. NSO Group staat inmiddels op de zwarte lijst van de VS, wat betekent dat alleen Amerikaanse bedrijven met een speciale vergunning zaken mogen doen met NSO Group. De Europese privacytoezichthouder pleitte eerder voor een verbod op Pegasus in de EU. NSO wordt momenteel ook aangeklaagd door Apple, WhatsApp en nieuwsmedium El Faro.