Kerentanan 0-day yang digunakan perusahaan pengawasan komersial di Mesir

• Google Threat Analysis Group (TAG) dan The Citizen Lab menemukan rangkaian serangan 0-day untuk iPhone yang dikembangkan oleh perusahaan pengawasan komersial Intellexa.
• Rangkaian serangan ini digunakan untuk memasang spyware Predator milik Intellexa pada perangkat tanpa sepengetahuan pengguna.
• Apple telah memperbaiki bug tersebut di iOS 16.7 dan iOS 17.0.1 sebagai CVE-2023-41991, CVE-2023-41992, dan CVE-2023-41993, serta merekomendasikan semua pengguna iOS untuk memasang patch ini sesegera mungkin.
• Rangkaian serangan dikirimkan melalui "serangan man-in-the-middle" (MITM), di mana penyerang mencegat lalu lintas web target dan mengalihkannya ke situs web lain.
• Rangkaian serangan untuk iOS mencakup tiga kerentanan: eksekusi kode jarak jauh awal di Safari, bypass PAC, dan peningkatan hak akses lokal di kernel XNU.
• Penyerang juga memiliki rangkaian serangan untuk memasang Predator pada perangkat Android di Mesir melalui injeksi MITM dan tautan sekali pakai yang dikirim langsung ke target.
• Chrome sedang mendorong adopsi HTTPS secara universal di seluruh web untuk menghadapi serangan MITM, dan memiliki "HTTPS-First Mode" yang mencoba memuat semua halaman melalui HTTPS.
• Kampanye ini menjadi contoh bahaya dari perusahaan pengawasan komersial dan dampaknya terhadap keselamatan pengguna online.
• TAG berencana terus mengambil tindakan terhadap industri spyware komersial, menerbitkan riset terkait, dan bekerja sama dengan sektor publik maupun swasta untuk mendorong upaya ini.
• The Citizen Lab diakui atas kolaborasi dan kemitraannya dalam menangkap serta menganalisis serangan ini, dan Apple juga diapresiasi karena mendistribusikan patch tepat waktu demi keselamatan pengguna online.

[GN⁺]

Opini Hacker News

• Artikel tentang masalah perusahaan pengawasan komersial Mesir yang mengeksploitasi kerentanan 0-day.
• Memunculkan pertanyaan tentang sifat pelarian sandbox di Android, sekaligus menimbulkan kekhawatiran terhadap patch Chrome.
• Kampanye penargetan yang mencakup penyadapan HTTP dan tautan sekali pakai menjadi jalur serangan, tetapi ada kekhawatiran bahwa ini bisa digunakan secara luas untuk membangun botnet melalui kampanye iklan atau spam, atau mencuri kredensial pengguna.
• Serangan menyuntikkan payload awal melalui HTTP, tetapi ada dugaan bahwa penyerang yang didukung negara berpotensi menguasai CA atau infrastruktur CDN.
• Muncul pertanyaan mengapa raksasa teknologi seperti Google dan Apple tidak merekrut karyawan dari perusahaan spyware dan vendor 0-day untuk menemukan kerentanan semacam ini.
• Diduga kerentanan ini digunakan oleh otoritas Mesir untuk meretas ponsel kandidat presiden Ahmed El Tantawy.
• Sejumlah pengguna mengambil langkah untuk melindungi diri, seperti memasang pembaruan dan menggunakan mode HTTPS-Only.
• Ada spekulasi bahwa Google mungkin telah mengungkap domain yang digunakan perusahaan tersebut, yang dapat memicu tindakan main hakim sendiri.
• Disebutkan bahwa mode Lockdown di iOS memblokir rantai serangan ini.
• Muncul pertanyaan apakah serangan ini masih akan berfungsi jika JavaScript dinonaktifkan secara default.