NSO Group lisab nuhkvaraarsenali "MMS-i sõrmejälgede" null-klõpsurünnaku

Rootsi telekomi- ja küberjulgeolekufirma Enea teadur avastas varem tundmatu taktika, mille Iisraeli NSO Group on teinud kättesaadavaks kampaaniates, mille eesmärk on visata oma kurikuulsat Pegasuse mobiilset nuhkvaratööriista mobiilseadmetele, mis kuuluvad sihitud isikutele kogu maailmas.

Teadlane avastas selle tehnika, kui uuris NSO Groupi edasimüüja ja Ghana telekommunikatsiooni reguleeriva asutuse vahelise lepingu kirjet pealkirjaga "MMS-i sõrmejälg".

Leping oli osa avalikult kättesaadavatest kohtudokumentidest, mis on seotud 2019. aasta kohtuasjaga, milles osalesid WhatsApp ja NSO Group, kuna viimane kasutas ära WhatsAppi viga Pegasuse juurutamiseks ajakirjanikele kuuluvates seadmetes. inimõiguste aktivistid, advokaadid ja teised kogu maailmas.

Nullklõpsuga seadmeprofiil Pegasuse jaoks

Lepingus kirjeldati MMS-i sõrmejälge kui midagi, mida NSO klient saab kasutada BlackBerry, Androidi või iOS-i sihtseadme ja selle operatsioonisüsteemi versiooni kohta üksikasjade hankimiseks, saates sellele lihtsalt multimeediasõnumiteenuse (MMS) sõnumi.

"Seadme sõrmejälje saamiseks ei ole vaja kasutaja sekkumist, kaasamist ega sõnumite avamist," märgiti lepingus.

Eelmisel nädalal avaldatud blogipostituses Enea uurija Cathal McDaid ütles, et otsustas seda viidet uurida, kuna "MMS-i sõrmejälg" polnud selles valdkonnas tuntud termin.

"Kuigi me peame alati arvestama, et NSO Group võib lihtsalt "leiutada" või liialdada oma väidetavate võimetega (meie kogemuse kohaselt lubavad seireettevõtted regulaarselt oma võimeid üle), viitab asjaolu, et see oli pigem lepingus kui kuulutuses. et see oli tõenäolisem, " kirjutas McDaid.

Sõrmejälgede võtmine MMS-i voo probleemi tõttu

McDaidi uurimine viis ta kiiresti järeldusele, et NSO Groupi lepingus mainitud tehnika oli tõenäoliselt seotud MMS-i voo endaga, mitte OS-i spetsiifiliste haavatavustega.

Voog algab tavaliselt sellega, et saatja seade saadab algselt MMS-sõnumi saatja MMS-keskusesse (MMSC). Seejärel saadab saatja MMSC selle sõnumi edasi adressaadi MMSC-sse, mis seejärel teavitab saaja seadet ootavast MMS-sõnumist. Seejärel hangib vastuvõtja seade sõnumi oma MMSC-st, kirjutas McDaid.

Kuna MMS-i arendajad võtsid selle kasutusele ajal, mil kõik mobiilseadmed ei ühildunud teenusega, otsustasid nad kasutada spetsiaalset SMS-i (nn WSP Push), et teavitada vastuvõtjaseadmeid ootel olevatest MMS-sõnumitest. saaja MMSC. Järgnev otsingupäring ei ole tegelikult MMS, vaid HHTP GET-i päring, mis saadetakse teatise sisu asukoha väljal loetletud sisu URL-ile, kirjutas uurija.

"Huvitav on see, et selle HTTP GET-i sees on kasutaja seadme teave," kirjutas ta. McDaid järeldas, et tõenäoliselt sai NSO grupp sihitud seadmeteabe just nii.

McDaid testis oma teooriat mõne Lääne-Euroopa telekommunikatsioonioperaatori SIM-kaardi näidisega ning suutis pärast mõningast katse-eksitust hankida testseadmete UserAgent info ja HTTP päise info, mis kirjeldas seadme võimalusi. Ta jõudis järeldusele, et NSO Groupi osalejad saavad kasutada teavet mobiilsete operatsioonisüsteemide konkreetsete haavatavuste ärakasutamiseks või Pegasuse ja muude pahatahtlike kasulike koormuste kohandamiseks sihtseadmete jaoks.

"Või võib seda kasutada andmepüügikampaaniate korraldamiseks inimeste vastu, kes seadet tõhusamalt kasutavad," märkis ta.

McDaid ütles, et tema viimaste kuude jooksul tehtud uurimised ei ole avastanud ühtegi tõendit selle kohta, et keegi oleks seda tehnikat looduses seni kasutanud.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
• PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
• PlatoESG. Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
• PlatoTervis. Biotehnoloogia ja kliiniliste uuringute luureandmed. Juurdepääs siia.
• Allikas: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal