Kwetsbaarheid in iMessage maakt iPhones vatbaar voor Pegasus-spyware

Update 27 juli 2021: In iOS 14.7.1 is dit lek mogelijk opgelost, al geeft Apple nét niet voldoende info om het helemaal te bevestigen. We kunnen dus alleen maar speculeren.

Update 20 juli 2021: Apple heeft inmiddels ook gereageerd op de kwetsbaarheid en dat ook iPhones getroffen kunnen worden door de spyware. In een statement tegenover The Washington Post zegt Ivan Krstić, hoofd van de beveiliging bij Apple, dat Apple de cyberaanvallen tegen journalisten, activisten en anderen veroordeelt, maar dat de aanval zo gecompliceerd is en alleen gericht is op individuen, dat het geen bedreiging vormt voor de grote meerderheid van de gebruikers. Het is dus nog onduidelijk of Apple actief werkt aan een oplossing.

Het volledige statement luidt als volgt (vertaald):

Apple veroordeelt ondubbelzinnig cyberaanvallen op journalisten, mensenrechtenactivisten en anderen die de wereld willen verbeteren. Al meer dan tien jaar is Apple toonaangevend in de industrie op het gebied van innovatie in de beveiliging en als gevolg daarvan zijn beveiligingsonderzoekers het erover eens dat de iPhone het veiligste en en best beveiligde mobiele apparaat voor consumenten op de markt is.

Aanvallen zoals beschreven zijn zeer geavanceerd, kosten miljoenen dollars om te ontwikkelen, hebben vaak een korte houdbaarheid en worden gebruikt om specifieke individuen aan te vallen. Hoewel dat betekent dat ze geen bedreiging vormen voor de overgrote meerderheid van onze gebruikers, blijven we onvermoeibaar werken om al onze klanten te verdedigen en voegen we voortdurend nieuwe bescherming toe voor hun apparaten en gegevens.

Voor zover bekend is het probleem in iOS 14.7 in ieder geval niet opgelost.

Oorspronkelijk artikel 19 juli
Eerder dit jaar kwam aan het licht data Apple een nieuwe techniek in iMessage gebruikt om de chatdienst veiliger te maken. BlastDoor zorgt ervoor dat de iPhone inkomende berichten verwerkt in een extra veilige omgeving. Hierdoor kan een malafide bericht geen grip krijgen over de rest van het besturingssysteem. Nu blijkt dat dit systeem nog niet waterdicht is, want in in ieder geval iOS 14.6 blijkt een kwetsbaarheid te zitten. Hierdoor is de iPhone vatbaar voor spyware. Het gaat om de Pegasus-spyware, die berichten, mailtjes en media kan uitlezen.

Pegasus spyware in iOS 14.6 door kwetsbaarheid iMessage

Onder andere Amnesty International deed onderzoek naar het gebruik van de spyware Pegasus van het Israëlische bedrijf NSO Group. Volgens NSO wordt Pegasus gebruikt om criminelen en terroristen te volgen, maar onder andere Amnesty International kreeg een lijst van 50.000 telefoonnummers in handen die mogelijk doelwit waren van overheden die gebruikmaken van Pegasus. Hierdoor besloot Amnesty tientallen telefoons te onderzoeken en daaruit bleek dat 37 telefoons van onder andere journalisten en activisten geïnfecteerd waren of dat er pogingen gedaan waren om de spyware Pegasus te installeren. Beveiligingsonderzoeker Bill Marczak ontdekte dat hier ook iPhones bij zitten.

(1) @AmnestyTech saw an iOS 14.6 device hacked with a zero-click iMessage exploit to install Pegasus. We at @citizenlab also saw 14.6 device hacked with a zero-click iMessage exploit to install Pegasus. All this indicates that NSO Group can break into the latest iPhones.

— Bill Marczak (@billmarczak) July 18, 2021

Het gaat om een zogenaamde zero-click exploit in iMessage in iOS 14.6, waardoor er zonder actie van een gebruiker (zoals het openen van een link) spyware geïnstalleerd kan worden. Het infecteren van iPhones verloopt dus via iMessage, maar het is niet helemaal duidelijk hoeveel iPhones getroffen zijn. Het is in ieder geval mogelijk in iOS 14.6, op moment van schrijven de meest recente iOS-versie. Het is nog niet bekend of Apple werkt aan een oplossing.

It also indicates that Apple has a MAJOR blinking red five-alarm-fire problem with iMessage security that their BlastDoor Framework (introduced in iOS 14 to make zero-click exploitation more difficult) ain't solving.

— Bill Marczak (@billmarczak) July 18, 2021

Dit kun jij er tegen doen
Binnenkort brengt Apple iOS 14.7 uit, vermoedelijk deze week. De kans is zeker aanwezig dat Apple de kwetsbaarheid in deze versie oplost. Apple kan er ook voor kiezen om binnenkort iOS 14.7.1 uit te brengen, als er meer tijd nodig is om het lek te dichten. De kans dat jouw iPhone getroffen wordt, lijkt erg klein. De Pegasus spyware wordt voornamelijk gebruikt op (internationale) journalisten en personen die bij overheden in het vizier zitten. Maar desalniettemin is het belangrijk dat iPhones veilig zijn. Hoewel NSO Group beweert dat Pegasus alleen gebruikt wordt om criminelen en terroristen te volgen, kan het ook misbruikt worden om onschuldige mensen te traceren. Het is dus belangrijk om je iPhone en andere apparaten up-to-date te houden met de nieuwste software-updates. Apple lost regelmatig beveiligingsproblemen op. Zodra er een update klaar staat voor je iPhone, lees je dat uiteraard op iCulture.

In het verleden werd Pegasus ook al op iPhones gebruikt, maar dichtte het lek toen in een iOS-update.