EnlargeGetty Images | Aurich Lawson
Turvallisuushyödyntäjä Zerodium on ensimmäistä kertaa koskaan maksamalla korkeamman hinnan Android-kohteisiin kohdistuvista nollapäivän hyökkäyksistä kuin se maksaa vastaavista iOS: iin kohdistuvista hyökkäyksistä.
Tiistaina julkaistun päivitetyn hinnaston mukaan Zerodium tulee nyt maksa 2,5 miljoonaa dollaria kappaleelta “täydestä ketjusta (Zero-Click) kanssa pysyvyys ”Android nollapäiviä verrattuna iOS: n 2 miljoonaan dollariin nolla päivää, jotka täyttävät samat kriteerit. Edellinen ohjelma yleiskatsaus tarjosi 2 miljoonaa dollaria julkaisemattomille iOS-hyödyntämisille, mutta tehdyille lainkaan viittausta Android-käyttökohteisiin. Zerodium-perustaja ja toimitusjohtaja Chaouki Bekrar kertoivat Arsille, että välittäjä maksoi ”tapauskohtaisesti” perusteella ketjusta riippuen ”Android hyödyntää.
“Tulvii iOS hyödyntää”
Bekrar kertoi Arsille, että muutosta sai aikaan toimivan iOS: n liika hyödyntää ketjuja, jotka ovat sattuneet samaan aikaan vertailukelpoisten hyötyjen löytäminen Android-versioille 8 ja 9. Jonkin sisällä viestin, Bekrar kirjoitti:
Viime kuukausina olemme havainneet, että iOS-käyttöasteiden lukumäärä, lähinnä Safari- ja iMessage-ketjut tutkijoiden kehittämiä ja myymiä ympäri maailmaa. nollapäivän markkinat ovat niin täynnä iOS: n hyödyntämiä, että olemme äskettäin alkoi kieltäytyä joistakin [heistä].
Toisaalta Android-tietoturva paranee jokaisella uudella käyttöjärjestelmän julkaiseminen Googlen ja Samsung, joten siitä kehittyminen oli erittäin vaikeaa ja aikaa vievää hyödyntämisketjuja Androidille ja on vielä vaikeampaa kehittää nollaa napsautushyökkäykset, jotka eivät vaadi käyttäjän vuorovaikutusta.
Näihin liittyviin uusiin teknisiin haasteisiin vastataan Uskomme Android-tietoturvaan ja havaintoihimme markkinoiden kehityksestä on tullut aika jakaa korkeimmat rahat Androidille hyödyntää, kunnes Apple parantaa iOS: n ja vahvistaa sen heikoimpia osia, joita ovat iMessage ja Safari (Webkit ja hiekkalaatikko).
Nykyaikaiset käyttöjärjestelmät sisältävät monenlaisia suojauksia suojaukset, jotka yleensä vaativat hyökkääjät yhdistämään kaksi tai useampia hyväksikäyttö hyökkäysketjussa, ja jokainen linkki puuttuu erilaiseen hakemus tai puolustus. Nolla napsautuksella hyväksikäyttöä ei käytetä vaativat loppukäyttäjältä kaikenlaista vuorovaikutusta. Anhyödyntää sitä, joka saapuu tekstiviestiin ja antaa hyökkääjälle mahdollisuuden laitteen hallinta on esimerkki. Yhden napsautuksen hyödyntäjä, kirjoittanut Sen sijaan loppukäyttäjä ryhtyy minimaalisiin toimiin, kuten vierailu boobo-loukkuun jäävällä verkkosivustolla.
Herätyssoitto
Lisälukema
0 päivän iOS: llä varustetut hakkerit tartunnan saaneet iPhones-ohjelmat mielivaltaisesti kaksi vuottaHintamuutos tulee neljä päivää tutkijoiden jälkeen Googlen Projekti nolla ilmoitti, että täysin patched-versioiden käyttäjät iOS: stä olivat alttiita iOS: n nollapäiville, joita käytettiin villi yli kaksi vuotta. Hyökkäyksiä 14 erillistä vastaan haavoittuvuudet pakattiin viiteen erilliseen hyödyntämisketjuun se antoi hyökkääjille mahdollisuuden tehdä kompromisseja ajan tasalla laitteet.
Hyökkäykset toteutettiin pienestä hakkeroidusta kokoelmasta verkkosivustot, jotka käyttivät hyväksikäyttöä hyökkäämättä syrjimättä kaikkia iOS-laite, joka vieraili. Hyökkääjät käyttivät hyökkäyksiä asentaakseen haittaohjelma, joka varasti valokuvia, sähköposteja, kirjautumistietoja, suorana sijaintitiedot ja paljon muuta iPhoneista ja iPadsista. Project Zerotutkijat eivät tunnistaneet mitään verkkosivustoja, jotka isännöivät hyödyntää. Maanantaina turvallisuusyrityksen Volexity tutkijat tunnisti 11 verkkosivustoa, jotka palvelevat Uyghuria ja Itä-Turkistanin vierailijoita joka todennäköisesti palveli iOS: n hyväksikäyttöjä. Volexity-viesti sanoi yhden sivustot näyttivät myös hyödyntävän Android-haavoittuvuutta lopetti toimintansa vuonna 2017 julkaisemalla Chrome 60.
Project Zero raportoi, että verkkosivustot avoimesti ja valinnut syrjimättömästi iOS: n nollapäiviä yli kahden vuoden ajan haastoi monia tavanomaisia oletuksia turvallisuudesta tutkijat esittelivät Apple mobiili-käyttöjärjestelmän tietoturvasta. Aiemmin, monet olettivat toimineen nolla- tai yhden napsautuksen hyökkäysketjut iOS: n uusinta versiota vastaan olivat niin kalliita ja harvinaisia, että he käytettiin säästeliäästi. Satunnainen tapa, jolla hyväksikäyttöä käytettiin Project Zero -yrityksen löytämät sivustot ehdottivat julkaisematta jätettyä iOS-järjestelmää hyökkäyksiä oli runsaasti tarvittavasta asiantuntemuksesta huolimatta kehittää niitä.
”Viimeisin nollapäivien sarja, joka vaikuttaa Applen alustaan Googlen Project Zero -julkaisun ilmoittamat olivat hieman herätyskelpoisia murskaamalla näkemyksemme iOS-ekosysteemistä ja sen turvallisuudesta ”, Jérôme Segura, virustentorjuntatoimittajan uhkailutiedon johtaja Malwarebytes, kertoi Arsille. “Vaikka on totta, että Apple hallitsee näemme, että laitteistot ja OS-päivitykset otetaan nopeasti käyttöön todisteita siitä, että määrätietoiset hyökkääjät pystyvät ohittamaan iOS-tietoturvan mekanismeja enemmän kuin aikaisemmin. ”
Zerodiumin päivitys sanoi Androidille sovelletun 2,5 miljoonan dollarin hinnan versiot 8 ja 9. Päivitys ei viitannut Android 10: ään, joka julkaistiin tiistaina, mutta Bekrar kertoi Arsille, että tämä versio on peitetty myös. Vaikka Zerodium maksaa 2,5 miljoonaa dollaria ja 2 dollaria miljoonaa nolla-napsautuksella hyödyntäviä ketjuja Androidille ja iOS: lle, vastaavasti vastaavien hyötyjen korkein hinta, joka kohdistuu työpöydälle Käyttöjärjestelmien huipputaso on miljoona dollaria.
”Matkapuhelimen käyttäjiä ei tule huolestuttaa, koska mobiililaitteet ovat nykyään paljon parempia kuin mikään kannettava tietokone tai tietokone ”, Bekrar sanoi.
