Eksploitasi ‘zero-click’ NSO Group termasuk yang paling canggih secara teknis yang pernah ada – Google
Ini adalah ringkasan yang dibuat oleh AI, yang mungkin memiliki kesalahan. Untuk konteksnya, selalu rujuk artikel selengkapnya.
Dalam eksploitasi zero-click, ‘penyerang tidak perlu mengirim pesan phishing; eksploitasi ini hanya bekerja secara diam-diam di latar belakang,’ kata peneliti keamanan Google Project Zero
Peneliti keamanan Google Project Zero, sebuah tim yang dibentuk pada tahun 2014 untuk mempelajari kerentanan, mengatakan dalam a postingan blog bahwa eksploitasi “zero-click” berbasis iMessage milik grup NSO adalah “salah satu eksploitasi paling canggih secara teknis yang pernah kami lihat” dengan kemampuan yang menyaingi eksploitasi “yang sebelumnya dianggap hanya dapat diakses oleh segelintir negara”.
NSO Group adalah perusahaan yang berbasis di Israel yang menjadi berita utama pada awal tahun 2021 karena spyware Pegasus yang bertanggung jawab atas eksploitasi yang disebutkan di atas. Senjata ini diketahui telah digunakan terhadap aktivis dan jurnalis, dan juga target lainnya, dalam paparan Proyek Pegasus yang dilakukan oleh Citizen Lab Universitas Toronto dan Amnesty International pada Juli 2021.
Eksploitasi zero-click adalah teknik peretasan yang tidak memerlukan interaksi pengguna, kata peneliti Ian Beer dan Samuel Groß. Artinya “penyerang tidak perlu mengirimkan pesan phishing; eksploitasi hanya bekerja secara diam-diam di latar belakang.”
“Tidak ada cara untuk mencegah eksploitasi dengan eksploitasi zero-click jika tidak menggunakan perangkat; itu adalah senjata yang tidak ada pertahanannya.”
Dalam kasus khusus ini, Apple memperbaiki kerentanan pada 13 September 2021 di iOS 14.8.
Para peneliti juga mengatakan mereka hanya memiliki sampel malware Apple, namun meminta kemungkinan sampel dari perangkat Android. “Kami menyadari bahwa NSO menjual kemampuan zero-click serupa yang menargetkan perangkat Android; Project Zero tidak memiliki contoh eksploitasi ini, namun jika Anda memilikinya, silakan menghubungi kami,” kata para peneliti.
Untuk memberikan konteks, para peneliti mencatat pada tahun 2016 bahwa sebelum eksploitasi zero-click, ada eksploitasi satu-klik. Mengacu pada kasus “Pembangkang Sejuta Dolar” tahun 2016, target dikirimi tautan dalam pesan teks, dan target diretas ketika mereka mengklik tautan tersebut. Google membagikan gambar eksploitasi satu klik berbasis SMS:
Seseorang yang paham teknologi mungkin cukup tahu untuk tidak mengeklik tautan asing. Namun dalam kasus eksploitasi zero-click, bahkan mereka yang paham teknologi pun mungkin tidak menyadari bahwa mereka sedang menjadi sasaran. Setelah eksploitasi berhasil, spyware akhirnya dapat mengamankan akses ke data dan fungsi perangkat.
Para peneliti menyajikan a analisis rinci tentang cara kerja eksploitasi NSO Group, namun singkatnya, ia menginfeksi iPhone melalui GIF yang dikirim di iMessage. Penyerang hanya perlu mengetahui nomor ponsel atau ID Apple seseorang untuk melancarkan serangan terhadap suatu target. Peretasan ini bekerja dengan mengeksploitasi kerentanan dalam cara iMessage memproses GIF. GIF dikirim ke iMessage yang berisi PDF berbahaya yang tidak memerlukan tindakan pengguna untuk mengaktifkannya.
Sebagai Kabel mencatat dalam laporannya: “Serangan tersebut mengeksploitasi kerentanan pada alat kompresi usang yang digunakan untuk memproses teks menjadi gambar dari pemindai fisik, yang memungkinkan pelanggan NSO Group untuk sepenuhnya. Intinya, algoritme tahun 1990-an yang digunakan dalam kompresi fotokopi dan pemindaian masih bersembunyi di komunikasi modern perangkat lunak, dengan semua bug dan bagasi yang menyertainya.
John Scott-Railton, peneliti senior Citizen Lab mengatakan kepada Wired: “Ini adalah hal yang sangat canggih, dan ketika diterapkan oleh seorang otokrat tanpa rem, ini benar-benar menakutkan. Dan itu hanya membuat Anda bertanya-tanya apa lagi yang digunakan di luar sana yang menunggu untuk ditemukan. Jika ancaman seperti ini dihadapi oleh masyarakat sipil, maka ini merupakan sebuah keadaan darurat.” – Rappler.com
