Citizen Lab erwischte NSOs Zero-Click-iPhone-Hacks, indem es gefährdete Telefone überwachte

Bis 2020 konnte die Pegasus-Spyware von NSO Group ein iPhone ohne einen einzigen Klick übernehmen, und NSO-Kunden richteten sie auf Journalisten. Der Korrespondent der New York Times, Ben Hubbard, der über Saudi-Arabien berichtete und ein Buch über Kronprinz Mohammed bin Salman schrieb, war von Juni 2018 bis Juni 2021 Ziel von Angriffen. Beschwerden bei NSO und die öffentliche Berichterstattung von Hubbard und Citizen Lab stoppten dies nicht: Sein Telefon wurde im Juli 2020 und im Juni 2021 mit hoher Zuversicht erneut gehackt.

Citizen Labs Gegenstrategie bestand darin, die Telefone zu beobachten, auf die die Angreifer tatsächlich zielten. Im Dezember 2019 begann das Labor, VPNs auf den Geräten potenziell ins Visier genommener Nutzer zu betreiben, und es analysierte Backups und Protokolle auf Artefakte, denn selbst ein Zero-Click-Exploit muss durch das Netzwerk reisen und das Dateisystem berühren. Im September 2021 fing das Labor NSOs FORCEDENTRY-Exploit im Feld ab, gewann ihn aus dem iPhone-Backup einer saudischen Aktivistin zurück, reverse-engineerte ihn und meldete ihn an Apple.

Dieselbe Linse verwandelte Hubbards stille Infektionen in einen datierten öffentlichen Beleg: Lücken in seiner DataUsage.sqlite-Datei, ein Prozess namens „bh“, gelöschte iMessage-Anhänge und dasselbe Zustellkonto, das gegen die saudische Aktivistin verwendet wurde, ließen Citizen Lab mit hoher Zuversicht schließen, dass sein iPhone am 12. Juli 2020 und am 13. Juni 2021 gehackt wurde. Apple lieferte sechs Tage nach der Offenlegung einen Patch für FORCEDENTRY in iOS 14.8 aus. Das Labor hielt einige Signaturen, den HIPPOCRENE FACTOR, zurück, um seine Sichtbarkeit in NSOs Spyware zu bewahren.

Gefährdete Telefone mit VPNs instrumentieren, um Zero-Click-Spyware auf frischer Tat zu erwischen, und sie dann dem Hersteller melden

Ein Zero-Click-Angriff muss das Telefon trotzdem über das Netzwerk erreichen und dessen Dateisystem berühren, sodass ein VPN und Backups zeigen, was das Opfer nicht kann: Der Angriff kommt als datierter Beweis an.

Die Telefone gehörten Personen, auf die NSOs Kunden tatsächlich zielten, sodass Citizen Lab echte operative Angriffe abfing und das Werkzeug mit hoher Zuversicht NSO zuordnen konnte.

Die Offenlegung des abgefangenen Exploits gab Apple, was es brauchte: FORCEDENTRY wurde sechs Tage später in iOS 14.8 gepatcht, eine Behebung, die keine Beschwerde, keine Klage und kein öffentlicher Bericht hervorgebracht hatte.

Einige Erkennungssignaturen unveröffentlicht zu lassen, etwa den HIPPOCRENE FACTOR, bedeutete, dass das Labor Infektionen weiter erkennen konnte, nachdem es mit dem Rest seiner Methoden an die Öffentlichkeit gegangen war.

Instrumentiere die Population, auf die ein Angreifer zielt: Ein VPN plus Backup-Analyse verwandelt einen unsichtbaren Zero-Click-Angriff in datierte, zuordenbare Beweise, und die Offenlegung gegenüber dem Hersteller bringt die Behebung zur Auslieferung.

Apple lieferte iOS 14.8 sechs Tage nach Citizen Labs Offenlegung im September 2021 aus und schloss damit FORCEDENTRY. Citizen Lab und Amnesty verifizierten später ähnliche Infektionen von Al-Jazeera-Mitarbeitern, Journalisten in Frankreich und Ungarn sowie Redakteuren von Indiens The Wire, und das Pegasus-Project-Leak zeigte, wie weit verbreitet NSO-Kunden das Werkzeug missbrauchten. Hubbards Fall zeigte die Grenzen der Offenlegung: Er wurde 2021 erneut infiziert, nachdem er Anfang 2020 an die Öffentlichkeit gegangen war, und Citizen Lab kam zu dem Schluss, dass NSO keine wirksamen Schritte unternahm, um die Zielgerichtung auf einen prominenten amerikanischen Journalisten zu stoppen.