Exploit zero-click e zero-day para iPhone do Grupo NSO capturado em ambiente real

• Apple anunciou atualizações para produtos que incluem iPhone, iPad, computadores Mac e Apple Watch, corrigindo uma vulnerabilidade zero-click explorada pelo spyware Pegasus do Grupo NSO
• O Citizen Lab descobriu uma exploração chamada BLASTPASS em um dispositivo pertencente a um indivíduo de uma organização da sociedade civil sediada em Washington, DC
• O BLASTPASS pode comprometer um iPhone executando a versão mais recente do iOS (16.6) sem qualquer interação da vítima, usando uma imagem maliciosa enviada via iMessage
• O Citizen Lab divulgou sua descoberta à Apple e cooperou com a investigação, o que levou à emissão de dois CVEs relacionados a essa cadeia de exploração (CVE-2023-41064 e CVE-2023-41061)
• Os usuários são aconselhados a atualizar seus dispositivos imediatamente e considerar ativar o Lockdown Mode, conhecido por bloquear esse ataque específico
• A descoberta do BLASTPASS destaca a importância de apoiar organizações da sociedade civil, que frequentemente atuam como sistemas de alerta precoce para ameaças cibernéticas complexas
• As atualizações da Apple ajudarão a manter seguros os dispositivos de usuários comuns, empresas e governos em todo o mundo

[GN⁺]

Opinião no Hacker News

• Discussão do artigo sobre o exploit zero-click e zero-day para iPhone do Grupo NSO
• Alguns usuários acharam interessante que o modo Lockdown seja recomendado apenas para usuários sob risco direto, apesar de potenciais benefícios como economia de bateria
• Este exploit envolve um buffer overflow na decodificação de imagens, semelhante a um exploit anterior de 2021
• Há preocupação com a quantidade de exploits no iMessage e a sugestão de limitar a primeira mensagem de novos contatos a texto simples e as demais mensagens a um subconjunto muito restrito
• O artigo menciona que a correção para o exploit foi lançada no mesmo dia do anúncio e incentiva os usuários a aplicar a atualização
• Alguns usuários acreditam que incluir o Grupo NSO na blacklist do Departamento de Comércio não é suficiente e que ele deveria receber punições mais severas
• Há especulações sobre se o modo Lockdown poderia ter evitado este ataque e sobre já terem ocorrido ataques de hacking usando vulnerabilidades zero-day
• Com a sugestão de que a NSO deveria ser designada como um grupo de ciberterrorismo, alguns usuários expressam surpresa pelo fato de a culpa frequentemente recair mais sobre a vítima (o iMessage da Apple e seus usuários) do que sobre o agressor (a NSO e seus usuários)
• O artigo menciona uma thread em andamento sobre o iOS 16.6.1 corrigir duas vulnerabilidades que estão sendo ativamente exploradas em ambiente real
• Alguns usuários expressam preocupação com a segurança de celulares Android, considerando a frequência das atualizações e a possibilidade de exploits
• Há dúvidas sobre se a Apple tem alguma forma de detectar vítimas desse tipo de exploit e notificar os usuários quando correções de segurança são publicadas