Vulnerabilidades 0-day exploradas por empresa de vigilância comercial no Egito

• O Threat Analysis Group (TAG) do Google e o The Citizen Lab descobriram uma cadeia de exploração 0-day para iPhone desenvolvida pela empresa de vigilância comercial Intellexa.
• Essa cadeia de exploração é usada para instalar o spyware Predator, da Intellexa, no dispositivo sem o conhecimento do usuário.
• A Apple corrigiu os bugs CVE-2023-41991, CVE-2023-41992 e CVE-2023-41993 no iOS 16.7 e no iOS 17.0.1, e recomenda que todos os usuários de iOS instalem esse patch o quanto antes.
• A cadeia de exploração foi entregue por meio de um "ataque man-in-the-middle" (MITM), no qual o invasor intercepta o tráfego web do alvo e o redireciona para outro site.
• A cadeia de exploração para iOS incluía três vulnerabilidades: execução remota de código inicial no Safari, bypass de PAC e escalonamento local de privilégios no kernel XNU.
• Os invasores também tinham uma cadeia de exploração para instalar o Predator em dispositivos Android no Egito, tanto por injeção via MITM quanto por links de uso único enviados diretamente ao alvo.
• O Chrome está trabalhando pela adoção universal de HTTPS em toda a web como defesa contra ataques MITM e conta com o "HTTPS-First Mode", que tenta carregar todas as páginas em HTTPS.
• Essa campanha exemplifica os riscos representados por empresas de vigilância comercial e o impacto delas na segurança dos usuários online.
• O TAG pretende continuar tomando medidas contra a indústria de spyware comercial, publicando pesquisas sobre o tema e colaborando com os setores público e privado para avançar esse trabalho.
• O The Citizen Lab recebeu reconhecimento pela colaboração e pelas parcerias na detecção e análise desses ataques, e a Apple foi agradecida por distribuir patches em tempo hábil para a segurança dos usuários online.

[GN⁺]

Comentários do Hacker News

• Artigo sobre o problema de uma empresa egípcia de vigilância comercial explorar vulnerabilidades 0-day.
• Levanta dúvidas sobre a natureza da fuga de sandbox no Android, além de preocupações sobre o patch do Chrome.
• A campanha direcionada, incluindo interceptação de HTTP e de links de uso único, foi o vetor de ataque, mas há preocupação de que isso possa ser amplamente usado para montar botnets por meio de campanhas publicitárias ou spam, ou para roubar credenciais de usuários.
• O ataque injeta o payload inicial via HTTP, mas há a sugestão de que atores patrocinados por Estados poderiam potencialmente comprometer uma CA ou infraestrutura de CDN.
• Levanta-se a dúvida de por que gigantes de tecnologia como Google e Apple não contratam funcionários de empresas de spyware e de firmas de 0-day para encontrar essas vulnerabilidades.
• Suspeita-se que essa vulnerabilidade tenha sido usada pelas autoridades egípcias para hackear o celular do candidato presidencial Ahmed El Tantawy.
• Alguns usuários estão tomando medidas para se proteger, como instalar atualizações e usar o modo HTTPS-Only.
• Há especulação de que o Google possa ter divulgado os domínios usados pela empresa, o que poderia levar a vigilantismo.
• Menciona-se que o modo Lockdown do iOS bloqueou essa cadeia de ataque.
• Levanta-se a dúvida sobre se esse ataque ainda funcionaria caso o JavaScript estivesse desativado por padrão.