La temuta vulnerabilità iOS "zero clic" di NSO Group era nuova nel XNUMX quando ha attaccato per ottenere l'accesso a un endpoint basato su iOS senza l'input dell'utente.
Ma ora sembra che NSO non sia stata l'unica azienda a realizzare quello che gli studiosi di Google hanno descritto come un hack "incredibile e terrificante", poiché Reuters afferma che più o meno nello stesso periodo, un'altra società con sede in Israele (ma meno famosa), QuaDream, raggiunto esattamente lo stesso obiettivo.
Gli studiosi che hanno esaminato la metodologia delle 2 società hanno affermato che erano molto simili, fino al fatto che una volta che Apple ha corretto la vulnerabilità di NSO, ha anche reso inutile la vulnerabilità di QuaDream.
Nessun clic sugli exploit iOS
La NSO Set (una società tecnologica israeliana famosa per i suoi spyware proprietari) ha sviluppato un meccanismo di attacco "contro il quale non c'è difesa", poiché nessun antivirus mobile sarebbe in grado di rilevarlo.
Conosciuto anche come exploit "zero clic", è proprio questo: la vittima non deve nemmeno fare clic su nulla per essere compromessa, per farsi rubare i dati o l'identità. In sostanza, tutto ciò che devi fare è ricevere un messaggio SMS tramite il servizio iMessage di Apple.
La stessa metodologia di attacco è piuttosto complessa e coinvolge anche gif "false", parser PDF CoreGraphics, il codec JBIG2 e un'architettura informatica completamente "nuova" che "non è veloce come Javascript, ma essenzialmente equivalente dal punto di vista computazionale".
La vulnerabilità è registrata come CVE-XNUMX-XNUMX ed è stata corretta il XNUMX settembre XNUMX in iOS XNUMX. Presumibilmente, esiste anche una versione per Android, ma gli studiosi devono ancora trovare un campione.
Una volta che il gatto è uscito dal sacco, il governo degli Stati Uniti ha inserito NSO nella lista nera, sostenendo che stava sviluppando strumenti usati contro i civili, cosa che NSO non solo ha negato, ma ha anche affermato che stava lavorando per "sostenere gli interessi e le politiche di sicurezza nazionale degli Stati Uniti prevenire il terrorismo”. e criminalità».
Allo stesso modo, AWS ha bandito NSO, ha citato in giudizio Apple, che è stata poi supportata praticamente da tutte le importanti società tecnologiche negli Stati Uniti.
NSO afferma che il lavoro non è stato uno sforzo di squadra e non è stato possibile contattare QuaDream per un commento.