Nhóm NSO bổ sung cuộc tấn công bằng 0 cú nhấp chuột 'MMS Vân tay' vào phần mềm gián điệp Arsenal

Một nhà nghiên cứu tại công ty an ninh mạng và viễn thông Thụy Điển Enea đã phát hiện ra một chiến thuật chưa từng được biết đến trước đây mà Tập đoàn NSO của Israel đã sử dụng trong các chiến dịch nhằm loại bỏ công cụ phần mềm gián điệp di động khét tiếng Pegasus của mình trên các thiết bị di động của các cá nhân mục tiêu trên toàn thế giới.

Nhà nghiên cứu đã phát hiện ra kỹ thuật này khi xem xét một mục có tên “Dấu vân tay MMS” trong hợp đồng giữa một đại lý của Tập đoàn NSO và cơ quan quản lý viễn thông của Ghana.

Hợp đồng này là một phần của các tài liệu tòa án được công bố công khai liên quan đến vụ kiện năm 2019 liên quan đến WhatsApp và Tập đoàn NSO, về việc NSO khai thác lỗ hổng WhatsApp để triển khai Pegasus trên các thiết bị của các nhà báo, nhà hoạt động nhân quyền, luật sư và những người khác trên toàn cầu.

Lập hồ sơ thiết bị không cần nhấp chuột cho Pegasus

Hợp đồng mô tả MMS Vân tay là thứ mà khách hàng NSO có thể sử dụng để lấy thông tin chi tiết về thiết bị BlackBerry, Android hoặc iOS mục tiêu và phiên bản hệ điều hành của nó, chỉ bằng cách gửi tin nhắn Dịch vụ nhắn tin đa phương tiện (MMS) tới nó.

Hợp đồng lưu ý: “Không cần tương tác, tương tác hoặc mở tin nhắn của người dùng để nhận dấu vân tay của thiết bị”.

Trong một bài viết blog tuần trước, Nhà nghiên cứu Cathal McDaid của Enea cho biết ông quyết định điều tra tài liệu tham khảo đó vì “Dấu vân tay MMS” không phải là một thuật ngữ được biết đến trong ngành.

“Mặc dù chúng tôi luôn phải cân nhắc rằng NSO Group có thể chỉ đơn giản là 'phát minh' hoặc phóng đại những khả năng mà họ tuyên bố có (theo kinh nghiệm của chúng tôi, các công ty giám sát thường xuyên hứa hẹn quá mức về khả năng của họ), nhưng thực tế đây là trên một hợp đồng chứ không phải là một quảng cáo gợi ý. rằng nó có nhiều khả năng là thật hơn,” McDaid viết.

Lấy dấu vân tay do vấn đề với luồng MMS

Cuộc điều tra của McDaid nhanh chóng khiến ông kết luận rằng kỹ thuật được đề cập trong hợp đồng của NSO Group có thể liên quan đến chính luồng MMS chứ không phải bất kỳ lỗ hổng nào dành riêng cho hệ điều hành.

Quy trình thường bắt đầu bằng việc thiết bị của người gửi ban đầu gửi tin nhắn MMS đến Trung tâm MMS (MMSC) của người gửi. Sau đó, MMSC của người gửi sẽ chuyển tiếp tin nhắn đó đến MMSC của người nhận, sau đó thông báo cho thiết bị người nhận về tin nhắn MMS đang chờ. McDaid viết rằng thiết bị người nhận sau đó sẽ truy xuất tin nhắn từ MMSC của nó.

Bởi vì các nhà phát triển MMS đã giới thiệu nó vào thời điểm không phải tất cả các thiết bị di động đều tương thích với dịch vụ nên họ quyết định sử dụng một loại SMS đặc biệt (được gọi là “WSP Push”) như một cách để thông báo cho thiết bị người nhận về các tin nhắn MMS đang chờ xử lý trong MMSC của người nhận. Nhà nghiên cứu viết, yêu cầu truy xuất tiếp theo không thực sự là MMS mà là yêu cầu HHTP GET được gửi đến URL nội dung được liệt kê trong trường vị trí nội dung trong thông báo.

Ông viết: “Điều thú vị ở đây là trong HTTP GET này, thông tin thiết bị của người dùng được bao gồm”. McDaid kết luận rằng đây có thể là cách Tập đoàn NSO lấy được thông tin thiết bị mục tiêu.

McDaid đã thử nghiệm lý thuyết của mình bằng cách sử dụng một số thẻ SIM mẫu từ một nhà khai thác viễn thông Tây Âu và sau một số thử nghiệm và sai sót, ông đã có thể lấy được thông tin UserAgent và thông tin tiêu đề HTTP của thiết bị thử nghiệm, mô tả các khả năng của thiết bị. Ông kết luận rằng các tác nhân của Tập đoàn NSO có thể sử dụng thông tin của anh ta để khai thác các lỗ hổng cụ thể trong hệ điều hành di động hoặc điều chỉnh Pegasus và các tải trọng độc hại khác cho các thiết bị mục tiêu.

Ông lưu ý: “Hoặc, nó có thể được sử dụng để giúp thực hiện các chiến dịch lừa đảo chống lại người sử dụng thiết bị một cách hiệu quả hơn”.

McDaid cho biết các cuộc điều tra của ông trong nhiều tháng qua đã không tìm thấy bằng chứng nào về việc có ai đó khai thác kỹ thuật này trong tự nhiên.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
• PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal