NSO Group aggiunge l'attacco zero-click "MMS Fingerprinting" all'arsenale di spyware

Un ricercatore della società svedese di telecomunicazioni e sicurezza informatica Enea ha portato alla luce una tattica precedentemente sconosciuta che il gruppo israeliano NSO ha reso disponibile per l'uso nelle campagne per rilasciare il suo famigerato strumento spyware mobile Pegasus sui dispositivi mobili appartenenti a individui presi di mira in tutto il mondo.

Il ricercatore ha scoperto la tecnica esaminando una voce intitolata "MMS Fingerprint" su un contratto tra un rivenditore del gruppo NSO e l'autorità di regolamentazione delle telecomunicazioni del Ghana.

Il contratto faceva parte di documenti giudiziari disponibili al pubblico associati a una causa del 2019 che coinvolgeva WhatsApp e il gruppo NSO, per lo sfruttamento da parte di quest'ultimo di una falla di WhatsApp per implementare Pegasus su dispositivi appartenenti a giornalisti, attivisti per i diritti umani, avvocati e altri a livello globale.

Profilazione dei dispositivi con zero clic per Pegasus

Il contratto descriveva MMS Fingerprint come qualcosa che un cliente NSO poteva utilizzare per ottenere dettagli su un dispositivo BlackBerry, Android o iOS di destinazione e sulla sua versione del sistema operativo, semplicemente inviandogli un messaggio MMS (Multimedia Messaging Service).

"Non è richiesta alcuna interazione, coinvolgimento o apertura di messaggi da parte dell'utente per ricevere l'impronta digitale del dispositivo", si legge nel contratto.

In un post sul blog della scorsa settimana, Il ricercatore dell'ENEA Cathal McDaid ha affermato di aver deciso di indagare su quel riferimento perché "MMS Fingerprint" non era un termine conosciuto nel settore.

"Anche se dobbiamo sempre considerare che NSO Group potrebbe semplicemente 'inventare' o esagerare le capacità che afferma di avere (nella nostra esperienza, le società di sorveglianza regolarmente promettono eccessivamente le proprie capacità), il fatto che ciò fosse previsto da un contratto piuttosto che da una pubblicità suggerisce che era più probabile che fosse vero", ha scritto McDaid.

Impronte digitali dovute a problemi con il flusso degli MMS

L'indagine di McDaid lo ha portato rapidamente a concludere che la tecnica menzionata nel contratto del gruppo NSO probabilmente aveva a che fare con il flusso MMS stesso piuttosto che con eventuali vulnerabilità specifiche del sistema operativo.

Il flusso inizia in genere con l'invio iniziale di un messaggio MMS da parte del dispositivo del mittente al Centro MMS del mittente (MMSC). L'MMSC del mittente inoltra quindi il messaggio all'MMSC del destinatario, che poi notifica al dispositivo destinatario il messaggio MMS in attesa. Il dispositivo ricevente recupera quindi il messaggio dal suo MMSC, ha scritto McDaid.

Poiché gli sviluppatori di MMS lo hanno introdotto in un momento in cui non tutti i dispositivi mobili erano compatibili con il servizio, hanno deciso di utilizzare un tipo speciale di SMS (chiamato "WSP Push") come modo per notificare ai dispositivi destinatari i messaggi MMS in sospeso nel MMSC del destinatario. La successiva richiesta di recupero non è realmente un MMS ma una richiesta HHTP GET inviata a un URL di contenuto elencato in un campo di posizione del contenuto nella notifica, ha scritto il ricercatore.

"La cosa interessante qui è che all'interno di questo HTTP GET sono incluse le informazioni sul dispositivo dell'utente", ha scritto. McDaid ha concluso che questo probabilmente è stato il modo in cui il gruppo NSO ha ottenuto le informazioni sul dispositivo preso di mira.

McDaid ha testato la sua teoria utilizzando alcune schede SIM campione di un operatore di telecomunicazioni dell'Europa occidentale e dopo alcuni tentativi ed errori è stato in grado di ottenere informazioni sullo UserAgent del dispositivo di prova e informazioni sull'intestazione HTTP, che descrivevano le funzionalità del dispositivo. Ha concluso che gli attori del gruppo NSO potrebbero utilizzare le informazioni per sfruttare vulnerabilità specifiche nei sistemi operativi mobili o per personalizzare Pegasus e altri payload dannosi per i dispositivi target.

"Oppure, potrebbe essere utilizzato per creare campagne di phishing contro gli esseri umani che utilizzano il dispositivo in modo più efficace", ha osservato.

McDaid ha affermato che le sue indagini negli ultimi mesi non hanno portato alla luce alcuna prova che qualcuno abbia sfruttato finora la tecnica in natura.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal