Vahşi ortamda yakalanan NSO Group’un iPhone için sıfır tıklama, sıfır gün istismarı

• Apple, iPhone, iPad, Mac bilgisayarlar ve Apple Watch dahil ürünleri için güncellemeler yayımladı; bu güncellemeler NSO Group’un Pegasus casus yazılımının yararlandığı sıfır tıklama açığını gideriyor
• Citizen Lab, Washington DC merkezli bir sivil toplum kuruluşundaki bir kişiye ait cihazda BLASTPASS adlı istismarı tespit etti
• BLASTPASS, kurbanın herhangi bir etkileşimi olmadan, en güncel iOS sürümü (16.6) çalışan bir iPhone’u tehlikeye atabiliyor; bunun için iMessage üzerinden gönderilen kötü amaçlı bir görsel kullanılıyor
• Citizen Lab, bulgularını Apple ile paylaştı ve soruşturmada iş birliği yaptı; bunun sonucunda bu istismar zinciriyle ilişkili iki CVE (CVE-2023-41064 ve CVE-2023-41061) yayımlandı
• Kullanıcılara cihazlarını derhal güncellemeleri ve bu spesifik saldırıyı engellediği bilinen Lockdown Mode’u etkinleştirmeyi değerlendirmeleri tavsiye ediliyor
• BLASTPASS’in keşfi, karmaşık siber tehditler için sık sık erken uyarı sistemi işlevi gören sivil toplum kuruluşlarını desteklemenin önemini vurguluyor
• Apple’ın güncellemeleri, sıradan kullanıcıların, şirketlerin ve dünya genelindeki hükümetlerin cihazlarını daha güvenli hale getirecek

[GN⁺]

Hacker News görüşleri

• NSO Group’un iPhone için sıfır tıklama, sıfır gün exploit’i hakkındaki makalenin tartışması
• Bazı kullanıcılar, Lockdown modunun pil tasarrufu gibi potansiyel faydalarına rağmen yalnızca doğrudan risk altındaki kullanıcılara önerilmesini ilginç buluyor
• Bu exploit, görüntü kod çözmede bir buffer overflow içeriyor ve bu, 2021’deki önceki exploit’e benziyor
• iMessage’ın sahip olduğu exploit sayısına dair endişeler var ve yeni kişilerden gelen ilk mesajın düz metinle sınırlandırılması, diğer mesajların ise çok kısıtlı bir alt kümeyle sınırlandırılması öneriliyor
• Makalede, exploit için düzeltmenin duyuruyla aynı gün yayımlandığı ve kullanıcılara güncellemeyi uygulamaları çağrısında bulunulduğu belirtiliyor
• Bazı kullanıcılar, NSO Group’un Ticaret Bakanlığı kara listesine alınmasının yeterli olmadığını ve daha sert cezalar alması gerektiğini düşünüyor
• Lockdown modunun bu saldırıyı önleyip önleyemeyeceğine ve sıfır gün zafiyetini kullanan bir hack saldırısına maruz kalıp kalmadıklarına dair spekülasyonlar var
• Bazı kullanıcılar, NSO’nun bir siber terör grubu olarak tanımlanması gerektiğini öne sürerken, kurbanlar (Apple’ın iMessage’ı ve kullanıcıları) yerine çoğu zaman faillerin (NSO ve kullanıcıları) suçlanmasına şaşırdıklarını ifade ediyor
• Makalede, iOS 16.6.1’in aktif olarak gerçek dünyada istismar edilen iki zafiyeti düzeltmesine ilişkin devam eden bir başlığa değiniliyor
• Bazı kullanıcılar, güncellemelerin sıklığı ve exploit olasılığı göz önüne alındığında Android telefonların güvenliği hakkında endişe dile getiriyor
• Apple’ın bu tür exploit’lerin kurbanlarını tespit edip güvenlik düzeltmeleri yayımlandığında kullanıcıları bilgilendirebilmesinin bir yolu olup olmadığı sorgulanıyor