Khai thác zero-click, zero-day trên iPhone của NSO Group bị phát hiện ngoài thực địa

• Apple công bố các bản cập nhật cho các sản phẩm gồm iPhone, iPad, máy tính Mac và Apple Watch, khắc phục lỗ hổng zero-click bị phần mềm gián điệp Pegasus của NSO Group khai thác
• Một khai thác có tên BLASTPASS được Citizen Lab phát hiện trên thiết bị thuộc sở hữu của một cá nhân trong một tổ chức xã hội dân sự có trụ sở tại Washington DC
• BLASTPASS có thể xâm phạm iPhone chạy phiên bản iOS mới nhất (16.6) mà không cần bất kỳ tương tác nào từ nạn nhân, sử dụng hình ảnh độc hại được gửi qua iMessage
• Citizen Lab đã tiết lộ phát hiện của mình cho Apple và hợp tác điều tra, dẫn đến việc phát hành hai mã CVE liên quan đến chuỗi khai thác này (CVE-2023-41064 và CVE-2023-41061)
• Người dùng được khuyến cáo cập nhật thiết bị ngay lập tức và cân nhắc bật Lockdown Mode, vốn được biết là có thể chặn cuộc tấn công cụ thể này
• Việc phát hiện BLASTPASS nhấn mạnh tầm quan trọng của việc hỗ trợ các tổ chức xã hội dân sự, những bên thường đóng vai trò như hệ thống cảnh báo sớm trước các mối đe dọa mạng phức tạp
• Bản cập nhật của Apple sẽ giúp bảo vệ an toàn cho thiết bị của người dùng phổ thông, doanh nghiệp và chính phủ trên toàn thế giới

[GN⁺]

Ý kiến trên Hacker News

• Thảo luận về bài viết nói về exploit zero-click, zero-day trên iPhone của NSO Group
• Một số người dùng thấy thú vị khi chế độ Lockdown, dù có những lợi ích tiềm năng như tiết kiệm pin, lại chỉ được khuyến nghị cho những người dùng đang đối mặt với rủi ro trực tiếp
• Exploit lần này bao gồm lỗi tràn bộ đệm trong quá trình giải mã hình ảnh, tương tự exploit trước đó vào năm 2021
• Có lo ngại về số lượng exploit mà iMessage đang có, cùng đề xuất giới hạn tin nhắn đầu tiên từ liên hệ mới ở dạng văn bản thuần túy và các tin nhắn khác vào một tập con rất hạn chế
• Bài viết đề cập rằng bản vá cho exploit đã được phát hành ngay trong ngày công bố, đồng thời kêu gọi người dùng cập nhật
• Một số người dùng tin rằng việc đưa NSO Group vào danh sách đen của Bộ Thương mại là chưa đủ và họ cần bị trừng phạt nghiêm khắc hơn
• Có suy đoán về việc liệu chế độ Lockdown có thể ngăn chặn được cuộc tấn công này hay không, và liệu đã từng có ai bị tấn công hack bằng lỗ hổng zero-day hay chưa
• Có đề xuất nên xếp NSO là một nhóm khủng bố mạng, đồng thời một số người dùng bày tỏ ngạc nhiên khi nạn nhân (iMessage của Apple và người dùng của nó) thường bị đổ lỗi thay vì thủ phạm (NSO và khách hàng của họ)
• Bài viết nhắc đến một luồng thảo luận đang diễn ra về việc iOS 16.6.1 khắc phục hai lỗ hổng đang bị khai thác tích cực ngoài thực tế
• Một số người dùng bày tỏ lo ngại về độ an toàn của điện thoại Android, xét đến tần suất cập nhật và khả năng tồn tại exploit
• Có câu hỏi liệu Apple có cách nào để phát hiện những nạn nhân của kiểu exploit này và thông báo cho người dùng khi các bản vá bảo mật được phát hành hay không