Citizen Lab flagrou os hacks de clique zero da NSO no iPhone monitorando telefones em risco

Em 2020, o spyware Pegasus do NSO Group já conseguia assumir o controle de um iPhone com zero cliques, e os clientes da NSO o direcionavam a jornalistas. O correspondente do New York Times Ben Hubbard, que reportava sobre a Arábia Saudita e escrevia um livro sobre o príncipe herdeiro Mohammed bin Salman, foi alvo entre junho de 2018 e junho de 2021. Reclamações à NSO e reportagens públicas de Hubbard e do Citizen Lab não o impediram: seu telefone foi hackeado novamente com alta confiança em julho de 2020 e em junho de 2021.

A contraestratégia do Citizen Lab foi monitorar os telefones que os atacantes realmente visavam. Em dezembro de 2019, começou a executar VPNs nos dispositivos de usuários potencialmente visados e analisou backups e registros em busca de artefatos, porque mesmo um exploit de clique zero precisa trafegar pela rede e tocar o sistema de arquivos. Em setembro de 2021, o laboratório capturou o exploit FORCEDENTRY da NSO em campo, recuperado do backup de um iPhone de um ativista saudita, fez engenharia reversa dele e o divulgou à Apple.

A mesma lente transformou as infecções silenciosas de Hubbard em um registro público datado: lacunas em seu arquivo DataUsage.sqlite, um processo chamado 'bh', anexos de iMessage apagados e a mesma conta de entrega usada contra o ativista saudita permitiram ao Citizen Lab concluir com alta confiança que seu iPhone foi hackeado em 12 de julho de 2020 e em 13 de junho de 2021. A Apple lançou uma correção para o FORCEDENTRY no iOS 14.8 seis dias após a divulgação. O laboratório reteve algumas assinaturas, o HIPPOCRENE FACTOR, para preservar sua visibilidade sobre o spyware da NSO.

Instrumentar telefones em risco com VPNs para flagrar spyware de clique zero em ação e, em seguida, divulgá-lo ao fornecedor

Um ataque de clique zero ainda precisa chegar ao telefone pela rede e tocar seu sistema de arquivos, então uma VPN e os backups mostram o que a vítima não consegue ver: o ataque chega como evidência datada.

Os telefones pertenciam a pessoas que os clientes da NSO estavam genuinamente visando, então o Citizen Lab capturou ataques operacionais reais e pôde vincular a ferramenta à NSO com alta confiança.

Divulgar o exploit capturado deu à Apple o que ela precisava: o FORCEDENTRY foi corrigido no iOS 14.8 seis dias depois, uma correção que nenhuma reclamação, ação judicial ou reportagem pública havia produzido.

Manter algumas assinaturas de detecção não publicadas, como o HIPPOCRENE FACTOR, significou que o laboratório pôde continuar detectando infecções depois de tornar públicos o restante de seus métodos.

Instrumentar a população que um atacante visa: uma VPN mais a análise de backups transforma um ataque de clique zero invisível em evidência datada e atribuível, e divulgá-la ao fornecedor faz a correção ser lançada.

A Apple lançou o iOS 14.8 seis dias após a divulgação do Citizen Lab em setembro de 2021, fechando o FORCEDENTRY. O Citizen Lab e a Amnesty passaram a verificar infecções semelhantes de funcionários da Al Jazeera, jornalistas na França e na Hungria, e editores do The Wire, da Índia, e o vazamento do Pegasus Project mostrou quão amplamente os clientes da NSO abusavam da ferramenta. O caso de Hubbard mostrou os limites da divulgação: ele foi infectado novamente em 2021 depois de tornar o caso público no início de 2020, e o Citizen Lab concluiu que a NSO não tomou medidas eficazes para impedir o direcionamento a um proeminente jornalista americano.