اكتشف باحثو جوجل عدة سلاسل من الثغرات الخطيرة التي أثرت على جميع أجهزة iOS تقريبًا خلال العامين الماضيين، والتي يمكن استغلالها بمجرد زيارة موقع مخترق. ماذا"مراقبة مجموعات سكانية بأكملها".
اعتقدت شركة Apple أنها كانت تقضي يومًا رائعًا بإعلانهاموعد إطلاق آيفون 11لكنها فشلت. الفريقالمشروع صفرمن Google، المتخصصة في تتبع ما يسمى بنقاط الضعف الشديدة لمدة 0 يوم، نشرت للتو وجود ليس واحدًا، ولكنخمس سلاسل خطأالجمع بين أربعة عشر نقاط الضعف المختلفة. تم لفت انتباه شركة Apple إلى هذه الأمور في 1 فبراير 2019 وتم تصحيحها في 7 فبراير في تحديث iOS 12.1.4، والذي يجب على جميع مستخدمي iPhone وiPad تثبيته بخلاف ذلك.
الخلية البحثية«كان قادرا على جمعخمس سلاسل استغلال منفصلة وشاملة وفريدة من نوعها لأجهزة iPhone، تغطي تقريبًا كل إصدار من iOS 10 إلى أحدث إصدار من iOS 12. ويشير هذا إلى أن المجموعة تبذل جهودًا متواصلة لاختراق أجهزة iPhone في بعض المجتمعات على مدى فترة تمتد على الأقل في العامين الماضيين.يمكن القول أن هذا هو أخطر حادث للأمن السيبراني في تاريخ iOS.
هجمات عشوائية وواسعة النطاق
ولذلك ظلت جميع أجهزة iOS تقريبًا معرضة للخطر لمدة عامين على الأقل، ويمكن مهاجمتها عند زيارة مواقع ويب معينة."لم يكن هناك تمييز على الهدف. كل ما عليك فعله هو زيارة الموقع المخترق ليقوم الخادم المستغل بمهاجمة جهازك، وإذا نجح ذلك، قم بتثبيت غرسة مراقبة. »المواقع المعنية استضافتها"آلاف المستخدمين أسبوعيًا".
"إنه أمر مرعب""، يعلق الباحث في مجال الأمن السيبراني توماس ريدمن المجلةسلكي."لقد اعتدنا على أن تكون إصابات iPhone عبارة عن هجمات مستهدفة ينفذها خصوم الدولة. إن فكرة أن يقوم شخص ما بإصابة كل جهاز iPhone زار مواقع معينة هي فكرة تقشعر لها الأبدان. »وسمحت العيوب للمهاجمين بتصعيد الامتيازات، وبالتالي الحصول على وصول شبه كامل إلى الأعمال الداخلية للجهاز والبيانات المخزنة عليه. ويتم بعد ذلك تثبيت برامج التجسس على الهاتف الذكي لإرسال هذه البيانات إلى خوادم المهاجمين.
جهة فاعلة تابعة للدولة؟
ولا يقدم Project Zero معلومات عن هوية المتسللين الذين استغلوا هذه العيوب. ويشير حجم وتعقيد هذه الهجمات، التي تستهدف بوضوح التجسس الجماعي، إلى وجود دولة ذات سيادة. ومن اللافت للنظر أيضًا أن العملية تمكنت من البقاء نشطة لفترة طويلة دون أن يتم اكتشافها. يمكن الافتراض أن المجموعة الضخمة من البيانات كانت مقتصرة على الأراضي الوطنية للبلد الذي يُزعم أنه رعى هذه القضية.
ومع ذلك، فإن التناقض صارخ بين تعقيد برنامج 0-days وهواة برامج التجسس التي سمحوا بتثبيتها. قامت عملية الزرع الخبيثة بتسريب البيانات من الهاتف دون استخدام تشفير HTTPS، وهو أمر قياسي على الويب، حتى يتمكن أي شخص على الشبكة من مراقبة ما يحدث. تم توجيه البيانات إلى الخوادم التي تمت كتابة عناوين IP الخاصة بها بنص عادي في برنامج التجسس.
«استهداف ومراقبة الأنشطة الخاصة لمجموعات سكانية بأكملها في الوقت الحقيقي »
من الممكن أن تكون وكالة حكومية عديمة الخبرة قد اشترت الثغرات الأمنية من مجموعة من المتسللين الخارجيين، ربما مقابل مبلغ ضخم من المال."هؤلاء هم الأشخاص الذين لديهم جبل من المال والمعرفة الرهيبة، لأنهم جدد نسبيا في هذه اللعبة،"الظن منسلكيجيك ويليامز، قرصان سابق في وكالة الأمن القومي.
على أية حال، تمثل هذه الحوادث علامة فارقة في أمان iOS. كان من المعروف أن نظام التشغيل الخاص بشركة Apple يصعب اختراقه بشكل متعمق، حيث لا يتمكن كل اختراق إلا من استهداف جهاز فردي بتكاليف مالية باهظة لكل منها - ومن هنا جاءت العبارة المبتذلةمعارضة بمليون دولار,بحسب معارض إماراتيوالتي كان من شأن تجسسها أن يكلف نظام الإمارات العربية المتحدة أكثر من مليون دولار.
"لن أخوض في نقاش حول ما إذا كانت تكلفة هذه الثغرات تبلغ مليون دولار، أو 2 مليون دولار، أو 20 مليون دولار.",مكتوب مثل هذاإيان بير من مشروع الصفر."بدلاً من ذلك، أود أن أقترح أن كل هذه الأسعار تبدو منخفضة نظرًا للقدرة على استهداف ومراقبة الأنشطة الخاصة لمجموعات سكانية بأكملها في الوقت الفعلي".
انضم إلينا من الساعة 5 إلى 7 مساءً، كل خميس، لحضور العرضفتحمن إنتاجفراندرويدوآخروننوميراما! أخبار التكنولوجيا والمقابلات والنصائح والتحليلات ... نراكم مرة أخرىمباشر على تويتشأو في إعادة البثعلى يوتيوب!
