NSO Group dodaja 'MMS Fingerprinting' Zero-Click Attack v Spyware Arsenal

Raziskovalec pri švedskem podjetju za telekomunikacije in kibernetsko varnost Enea je odkril doslej neznano taktiko, ki jo je izraelska skupina NSO Group dala na voljo za uporabo v kampanjah za odpuščanje svojega razvpitega mobilnega vohunskega orodja Pegasus na mobilnih napravah, ki pripadajo ciljnim posameznikom po vsem svetu.

Raziskovalec je tehniko odkril, ko je preučil vnos z naslovom »MMS Fingerprint« v pogodbi med preprodajalcem skupine NSO in ganskim regulatorjem za telekomunikacije.

Pogodba je bila del javno dostopnih sodnih dokumentov, povezanih s tožbo iz leta 2019, v katero sta bila vpletena WhatsApp in skupina NSO, zaradi izkoriščanja napake WhatsApp s strani slednje za namestitev Pegasusa na naprave, ki pripadajo novinarjem, borci za človekove pravice, odvetniki in drugi po vsem svetu.

Profiliranje naprav brez klika za Pegasus

V pogodbi je prstni odtis MMS opisan kot nekaj, kar lahko stranka NSO uporabi za pridobitev podrobnosti o ciljni napravi BlackBerry, Android ali iOS in različici njenega operacijskega sistema, tako da ji preprosto pošlje sporočilo storitve večpredstavnostnih sporočil (MMS).

"Za prejem prstnega odtisa naprave ni potrebna nobena interakcija uporabnika, sodelovanje ali odpiranje sporočila," je navedeno v pogodbi.

V objavi v blogu prejšnji teden, Cathal McDaid, raziskovalec Enea, je dejal, da se je odločil raziskati to referenco, ker "prstni odtis MMS" ni znan izraz v industriji.

»Čeprav moramo vedno upoštevati, da si skupina NSO morda preprosto 'izmišljuje' ali pretirava glede zmogljivosti, za katere trdi, da jih ima (po naših izkušnjah nadzorna podjetja redno pretiravajo z obljubami svojih zmogljivosti), dejstvo, da je bilo to v pogodbi in ne v oglasu, nakazuje da je bolj verjetno, da je res,« je zapisal McDaid.

Prstni odtis zaradi težave s tokom MMS

McDaidova preiskava ga je hitro pripeljala do zaključka, da je bila tehnika, omenjena v pogodbi skupine NSO, verjetno povezana s samim tokom MMS in ne s kakršno koli ranljivostjo, specifično za OS.

Tok se običajno začne s pošiljateljevo napravo, ki najprej pošlje sporočilo MMS v pošiljateljev center za MMS (MMSC). Pošiljateljev MMSC nato to sporočilo posreduje prejemnikovemu MMSC, ki nato prejemnikovo napravo obvesti o čakajočem sporočilu MMS. Prejemna naprava nato pridobi sporočilo iz svojega MMSC, je zapisal McDaid.

Ker so ga razvijalci sporočila MMS predstavili v času, ko vse mobilne naprave niso bile združljive s storitvijo, so se odločili uporabiti posebno vrsto sporočila SMS (imenovano »WSP Push«) kot način za obveščanje naprav prejemnikov o čakajočih sporočilih MMS v MMSC prejemnika. Naknadna zahteva za pridobitev v resnici ni MMS, ampak zahteva HHTP GET, poslana na URL vsebine, naveden v polju lokacije vsebine v obvestilu, je zapisal raziskovalec.

"Zanimiva stvar tukaj je, da so znotraj tega HTTP GET vključene informacije o uporabniški napravi," je zapisal. McDaid je zaključil, da je skupina NSO verjetno tako pridobila informacije o ciljni napravi.

McDaid je preizkusil svojo teorijo z nekaj vzorčnimi karticami SIM zahodnoevropskega telekomunikacijskega operaterja in po nekaj poskusih in napakah je uspel pridobiti informacije o uporabniškem agentu testne naprave in informacije o glavi HTTP, ki opisujejo zmogljivosti naprave. Ugotovil je, da bi akterji skupine NSO lahko uporabili informacije za izkoriščanje posebnih ranljivosti v mobilnih operacijskih sistemih ali za prilagajanje Pegasusa in drugih zlonamernih obremenitev za ciljne naprave.

"Lahko pa bi ga uporabili za učinkovitejše ustvarjanje lažnih kampanj proti ljudem, ki uporabljajo napravo," je opozoril.

McDaid je dejal, da njegove preiskave v zadnjih nekaj mesecih doslej niso odkrile nobenih dokazov, da bi kdo izkoriščal to tehniko v naravi.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoData.Network Vertical Generative Ai. Opolnomočite se. Dostopite tukaj.
• PlatoAiStream. Web3 Intelligence. Razširjeno znanje. Dostopite tukaj.
• PlatoESG. Ogljik, CleanTech, Energija, Okolje, sončna energija, Ravnanje z odpadki. Dostopite tukaj.
• PlatoHealth. Obveščanje o biotehnologiji in kliničnih preskušanjih. Dostopite tukaj.
• vir: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal