Apple fixt met iOS 16.6.1 zerodaykwetsbaarheid die Pegasus-spyware installeert

Apple heeft iOS-versie 16.6.1 uitgebracht. Die moet een kwetsbaarheid oplossen waarmee op afstand Pegasus-spyware kan worden geïnstalleerd. Volgens onderzoeksinstituut The Citizen Lab wordt de exploit actief uitgebuit.

Citizen Lab laat weten dat het afgelopen week een zerodaykwetsbaarheid heeft gevonden waarmee aanvallers op afstand spyware kunnen installeren op iPhone-apparaten die op de 16.6-versie van iOS draaien. Het onderzoeksinstituut beweert dat het deze exploit ontdekte nadat het Pegasus-spyware had gevonden op de telefoon van een werknemer van 'een maatschappelijke organisatie'.

Citizen Lab zegt de kwetsbaarheid meteen te hebben gemeld aan Apple. Dat bedrijf heeft met iOS-versie 16.6.1 nu een patch uitgebracht. Het onderzoeksinstituut spoort iedereen aan om deze zo snel mogelijk te installeren.

Hoe de exploit precies kon worden uitgebuit, wordt niet genoemd. Wel zegt Citizen Lab dat er geen interactie van het slachtoffer voor nodig was. Ook wordt gemeld dat de aanvaller gebruikmaakte van PassKit-bijlages met daarin geïnfecteerde afbeeldingen, die via iMessage werden gestuurd naar het slachtoffer. Volgens Citizen Lab waren gebruikers die de isolatiemodus van de iPhone hadden geactiveerd niet kwetsbaar voor de exploit.

Pegasus is spyware waarmee kwaadwillenden allerhande gegevens van een geïnfecteerde telefoon kunnen binnenhalen, waaronder berichten, foto's, video's en audio-opnames. De spionagesoftware van de NSO Group ligt al langere tijd onder vuur. De spyware zou onder andere gebruikt zijn om wereldwijd journalisten en mensenrechtenactivisten af te luisteren, zo ontdekten verschillende mediaorganisaties in 2021 in samenwerking met Amnesty International en Forbidden Stories.

Reacties (78)

[fiber44]

Is de patch alleen het voorkomen van nieuwe infiltratie, of verwijdert het ook een al aanwezige infectie?

Bij een aanwezige infectie zou ik ook dat overigens graag willen weten.

[Reactie gewijzigd door fiber44 op 23 juli 2024 22:04]

[bzzzt]

Is de patch alleen het voorkomen van nieuwe infiltratie, of verwijdert het ook een al aanwezige infectie?

Pegasus is niet persistent, dus weg na een reboot, al kan je wel steeds opnieuw geïnfecteerd worden zonder patch. Eventuele andere malware die via pegasus wordt gepushed kan mogelijk wel persistent zijn, maar dat is een uitdaging: Apple OSen hebben cryptografisch 'gesealede' volumes dus het is onmogelijk een aanpassing aan het basis OS te doen en dan nog op te starten.
Apple stelt gebruikers op de hoogte van infectie: nieuws: Apple waarschuwt gebruikers als ze doelwit worden van spyware zoals P...

[n3z]

Dus eigenlijk is het af en toe herstarten wel een goed idee?

[bzzzt]

Klopt. Maar dat gebeurt eigenlijk zowiezo wel met alle reguliere en minder reguliere updates. Als een dolle aap 5x per dag je toestel herstarten maakt je niet per se veiliger. Als zo'n exploit op jou gericht is heeft de afzender waarschijnlijk binnen 10 minuten wat die wil weten en als je 'm niet krijgt is er ook geen winst door te herstarten.
Wil je echt paranoia kan je op iOS nog "lockdown mode" inschakelen, maar dan lever je functionaliteit en performance in.

[telenut]

hoe zowiezo? Mijn Android herstart ik enkel na een update... verder zo goed als nooit (tenzij de batterij eens helemaal plat is)
Zal bij de meeste met iOS toch niet anders zijn?

[xFeverr]

Bij iOS heb je wat vaker updates. iOS 16 heeft, geen grap, 16 updates sinds de release gehad, sinds 12 september 2022. Dat is gemiddeld meer dan 1x per maand. Dat gebeurt op mijn Android-toestellen inderdaad veel minder.

[haam]

Ik gebruik LineageOS, daar komt bijna elke week een update beschikbaar (voor mijn telefoon iig). Waarschijnlijk kunnen ze zo vlot zijn omdat er geen bloat oid in zit.

Ik update ongeveer maandelijks,

[xFeverr]

Of omdat je niet stable draait? Weet ik overigens niet hoor, maar LineageOS is natuurlijk de uitzondering.

[bzzzt]

Klopt, maar ik bedoel dat dat vaak genoeg is voor de meeste mensen.

[Vyo]

Het advies van onderzoekers is - zeker voor mensen in diplomatieke functies + "gevaarlijke" landen of simpelweg de "verkeerde" ethniciteit/afkomst - doe élke een dag powercycle om exact deze reden. Aanrader hiervoor vind ik de Darknet Diaries, specifiek episode 99 en 100 over respectievelijk de NSO Group en de Pegasus software. De meest recente over de Predator spyware (137) verwijst hier ook naar.

[Argantonis]

Inderdaad, je hebt een alu hoedje op en je Apple hateboi-ism druipt er vanaf. Kom met bronnen of vermeld geen onzin.

[Anoniem: 1883242]

Mag je je inderdaad afvragen. Moderators vinden van niet, vreemd. Of dat naïviteit is of omdat ze 3 aandelen AAPL houden en zich persoonlijk aangevallen voelen?

[bzzzt]

Bron?

[ucsdcom]

Is de patch alleen het voorkomen van nieuwe infiltratie, of verwijdert het ook een al aanwezige infectie?

Bij een aanwezige infectie zou ik ook dat overigens graag willen weten.

Goede vraag: deze patch voorkomt volgens het bovenstaande artikel slechts dat de spyware wordt geinstalleerd. We moeten dan ook niet te naief zijn om te denken dat deze update opeens geinstalleerde malware van je toestel verwijderd. Naar wat ik verwacht is een geïnstalleerde en al actieve spyware toolkit gewoon in staat om online te gaan en daar de informatie te verzenden. Dat is dan weer een ander lek wat te dichten is. Voorkomen dat een bekend bestand contact kan maken met de buitenwereld. Dat kan er nog wel eens in zitten.

Het is dus een kat en muis spel. Volgens een documentaire werd er voorheen niet gericht geschoten op mobiele targets, maar werd het veel breder verspreid via allerhande (porno etc.) sites. Dus veel telefoons zouden al besmet zijn, ookal zijn de gebruikers geen target.

[DefaultError]

Tijd voor, haha, een virusscanner op je Apple. Ooit werden Windows luitjes hard uitgelachen door MAC mensen. Als je populair bent vang je klaarblijkelijk veel wind.

[divvid]

Die mythic dat MacOS/iOS geen virussen kan hebben heb k al nooit geloofd. De rest is gewoon naïef. Zelfs een freeBSD of ander OS met alle veiligheids opties kan nog steeds kwetsbaarheden bevatten. Never say never

[Anoniem: 1883242]

Vind het zo vreemd en storend dat anderen bepalen wat er op mijn smartdevices gebeurt.
Vanuit een perspectief als PC gebruiker dan. Daar heb ik alles in de hand en met succes.

Je mag iets installeren, verwijderen en aan/uit zetten maar anderzijds volledig overgeleverd en 0 inzicht of toegang.
Veiliger is het blijkbaar ook niet maar wel een effectieve gatekeeping setup voor de maker/appstore.

[GeleFles]

Zodra jij iets op je pc installeert, weet je ook niet 100% zeker wat dat allemaal doet tenzij je de source code gaat doorlezen. (En zelfs dan zijn er buffer overflows mogelijk als de code slecht geschreven is)
Deze vulnerability heeft ook niet zoveel te maken met hoe open of dicht het OS is voor het installeren van dingen; dit is een bug in de iMessage (dus OS) software die remote code execution mogelijk maakt.

[Reactie gewijzigd door GeleFles op 23 juli 2024 22:04]

[bzzzt]

Zelfs als je hele OS en applicatieset 100% open source is en je het zelf nagelezen hebt kan iemand je machine overnemen als er een exploit in de Intel Management Engine die in de CPU chipset zit en feitelijk een computer in de computer is. Alle PCs van voor 2017 zijn vulnerable en de mogelijkheid is aanwezig om een rootkit te plaatsen die ook na OS herinstallatie actief blijft.

[DefaultError]

Voor oudere computers van voor 2017, is het eigenlijk raadzaam om ‘message’ niet te gebruiken. Gezien dit mogelijk uitgebuit kan worden.

Ik heb eigenlijk geen nieuws gezien hierover mbt. OS-Mac, X.

Vind het wel oké te weten dat je redelijkerwijs safe bent. Updaten lijkt me, als dat kan.

[xxs]

Ken jij de software van je auto van binnen en buiten of van je TV? Als dat zo is dan petje af maar dan ben je toch echt een van de weinige.

[Anoniem: 1883242]

Mijn autoradio verzameld geen data en hangt ook niet aan het internet. Ditto voor mijn TV.

Als dat wel het geval was, dan is de kans groot dat ze software draaien en hardware gebruiken die we kennen, maar ook als niet, misschien juist meer, dan zal ik er zeker naar willen kijken.

Beetje een vreemde reactie trouwens. Op de man afspelen dmv. een drogreden en niet eens half grappig.

[Reactie gewijzigd door Anoniem: 1883242 op 23 juli 2024 22:04]

[xxs]

Je auto, niet auto radio.

Maar het was niet op de man bedoeld, noch grappig en die drogreden snap ik al helemaal niet.

We hebben inmiddels zoveel connected apparaten met verschillende OS'en en software daarop dat het schier onmogelijk is om deze allemaal te kennen. Laat staan dat je (deels) zelf kunt bepalen wat voor SW je installeerd.

[Anoniem: 1883242]

Mijn hele punt is inderdaad niet anders voor 'smart devices', of ietwat simpelere 'connected' devices a la IOT. Maar de drogreden is dat "veel dus geen beginnen aan" want mijn geïmpliceerde onkunde anders petje af (niet grappig).

Het valt in de realiteit best mee in hoe uniek alles is.
En zeker voor kwetsbare, complexe en kostbare devices wil IK geen blackbox die een ander beheert.

Vind het verschil kwa menselijke instelling heel opvallend. PC kennen we door en door maar de smartphone waar we misschien nog wel meer op doen tegenwoordig, is een grote bal vertrouwen en blackbox.

[Reactie gewijzigd door Anoniem: 1883242 op 23 juli 2024 22:04]

[divvid]

Precies, maar ga dat maar eens uitleggen aan Mien met een camera van de action of zelfs onze CSO.

We hebben hem een keer een mooie bedrijfs USB gegeven….. het was een eye opener. Achteraf goed om gelachen.

[svenk91]

Als je zoveel jaar in het vak zit weet je toch dat er geen exploit vrij OS is dat nog enig zins bruikbaar is verder? Zeker voor apparaten die aan het internet hangen. Ook als je zelf alles compileert van source (inclusief je compiler).

[GertMenkel]

Weinig mensen willen zelf hun hele telefoon moeten inrichten, en dat komt met flinke voordelen en kostenbesparingen voor de fabrikanten van telefoons. Bij Windows is dit net zo, en ook bij Linux zit het merendeel niet de Arch-installatiehandleiding te volgen om te kiezen tussen Grub, rEFInd, of systemd-boot.

Wil je dit niet, dan kun je postmarketOS of Plasma Mobile op diverse apparaten installeren en zelf alles van de kernel tot de GUI aanpassen.

iOS koop je omdat je geen keuzes wilt maken, en Apple de boel wil laten beheren. Klagen dat je bij iOS de internet componenten niet uit kan zetten is zoiets als klagen dat je niet gewoon trappers kan zetten op je BMW in plaats van een motor; het kan wel, het is er niet voor gebouwd, en het gaat je een hele hoop moeite kosten om het voor elkaar te krijgen.

[Buffalo]

Kan men dan letterlijk van afstand die software installeren? Zonder op hetzelfde Wifi netwerk te zitten bijvoorbeeld?
Ik bedoel, hoe kan men een iPhone dan benaderen om dit te doen?

[M1kez]

Men stuurt bijvoorbeeld een bericht wat door je telefoon geïnterpreteerd wordt om je het als voorbeeld te tonen.

Als daar een kwetsbaarheid in zit en kwaadaardige software laadt / je naar een kwaadaardige website stuurt die vervolgens een keten aan kwetsbaarheden uitvoert ben je geïnfecteerd zonder dat je het weet! Na de infectie kan het bericht door de aanvaller namelijk gewoon verwijderd worden.

[musiman]

Helaas, dat kan. NSO Group heeft/had het zo voor elkaar dat de aanvaller enkel het telefoonnummer van de target hoeft te weten. In dit geval is het niet bekend hoe het precies in zijn werk ging, maar bij een vorige versie ging het met behulp van een zero-day vulnerability in Whatsapp's videocall mogelijkheid. De aanvaller startte een videobericht die niet eens door de target hoefde te worden opgenomen. Er werd een buffer overflow attack mee uitgevoerd waarbij volledige toegang tot je telefoon werd verkregen. Later, toen dit gepatcht was, kwam er nog een versie waarbij de aanvaller enkel een MP4 video hoefde te sturen.

[Reactie gewijzigd door musiman op 23 juli 2024 22:04]

[PhilipsFan]

Eens temeer een reden om die irritante belfunctionaliteit van Whatsapp uit te schakelen. Wat niet kan. Dankjewel Whatsapp.

[StGermain]

Dat staat toch in het artikel? Door geïnfecteerde afbeeldingen te sturen via imessage.

[Buffalo]

Excuus, ik scande het artikel iets te snel.

[wica]

Al weer afbeelding? Bijna 2 jaar geleden was er ook een soort gelijk probleem.

https://googleprojectzero...-into-nso-zero-click.html

[FONfanatic]

Dat heet steganografie.

[DefaultError]

Dan kan het alleen via een andere iPhone of Mac gerelateerde device verstuurd worden. De NSO wordt blij als Android en iPhone elkaar ooit foto’s kunnen sturen via sms.

Werk aan de winkel lijkt me.

[Yzord]

Wat ik dan weer vreemd vind is dat de andere macOS versies niet meegenomen wordt daar deze ook plaatjes en bestanden kunnen ontvangen. Het is namelijk een makkelijk uit te voeren exploit en behoorlijk kritiek.

[karel-jacobse]

Het kan zijn dat op oudere versies van het OS dor andere libraries de exploit er niet op werkt. Meestal pakken ze het wel mee anders.

[Gustaaf437]

De laatste tijd gebeurt het vaker dat Apple de meest recente en meest gebruikte OS-versies direct patcht en de oudere (nog ondersteunde versies) krijgen de update dan iets later. iOS 15 en macOS 11 en 12 vallen nog onder de ondersteuning (als ze de patch ook echt nodig hebben zoals @karel-jacobse terecht zegt).

[karel-jacobse]

welp daar is ie: "Apple today released new iOS, iPadOS, and macOS updates that are aimed at iPhone, iPad, and Mac users who are still running older versions of operating systems"

https://www.macrumors.com...-older-operating-systems/

[GertMenkel]

Apple is wel vaker selectief met oudere versies van hun besturingssystemen. Je krijgt op oudere versies wel bepaalde updates, maar niet alle. Wil je alle patches, dan zul je mee moeten naar de nieuwste versie van hun besturingssysteem.

Op zich mooi dat ze hun oude besturingssystemen wel bijhouden, al zijn ze wat vaag in hoe lang welke versies wat voor ondersteuning krijgen. Bij Microsoft moest je bijvoorbeeld redelijk snel over naar de volgende release van Windows 10 wilde je nog updates krijgen (anderhalf tot drie jaar, tenzij je de LTSC gebruikt) .

[Reactie gewijzigd door GertMenkel op 23 juli 2024 22:04]

[Luchtbakker]

Apps op een Iphone werken toch altijd in sandbox mode met zeer beperkte rechten? Hoe kan het dan dat er via een app rechten worden vergaart binnen een sandbox en hij dus ook buiten de sandbox weet te opereren?

[lenwar]

Klopt. Het probleem ligt doorgaans dus ook niet in de Sandbox zelf, maar de systemen erbuiten. Een app moet effectief buiten z’n Sandbox zaken kunnen aanspreken. Anders zou het geen camera/netwerk/beeldscherm/touch-interface/bestanden/enz kunnen benaderen.

[Mizgala28]

Misschien dat de rechten voor Apple hun eigen apps anders werken.

Al blijft het wel een sandbox naar mijn weten.

[Danny the dog]

Nou.. hier worden 2 iPhones as we speak ge-update!

Zou toch de ultieme actie als je op een of andere manier de iOS update kunt kraken en dáárin juist je spyware verpakt. Stuur vervolgens een bericht uit als hierboven en je bent er zeker van dat de meeste toestellen acuut voorzien worden van je achterdeurtje

[Sfynx]

Dat heeft Apple gelukkig wel redelijk dichtgetimmerd: https://support.apple.com...-devices-secb3000f149/web

De updates zelf zijn ook signed, dus je zal hoe dan ook ergens stevige cryptografie moeten kraken om daar omheen te werken.

[lenwar]

De handtekening vervalsen of kraken is inderdaad onpraktisch. Wat je dus beter kan proberen is de controle omzeilen/voor de gek houden

Je hoeft het slot niet te breken als je iemand anders de deur kan laten open doen.

[Aiii]

…En MacOs 13.5.2, iPadOS 16.6.1, and watchOS 9.6.2.

[telenut]

Is besmetting hiermee een hoog risico? Wij beheren de meeste iOS toestellen op het werk. Indien nodig kunnen we dus blokkeren dat men Outlook nog kan openen zolang ze niet updaten. Maar dat zou wel eens heel veel frustraties kunnen opwekken ook :-)

[Raymond Deen]

Ik ben wel benieuwd wat ze nu eigenlijk patchen.
Ik krijg sinds kort ineens rare mailtjes van Amazon met als atttachment een pdf namelijk.
Wilde zojuist de update installeren maar er is minimaal 528MB vrije ruimte vereist blijkbaar (terwijl ik nog 8GB vrij heb.....)

[FONfanatic]

Citizen Lab staat op eenzame hoogte wat betreft het ondersteunen van oppositiegroeperingen.