Apple vá khẩn cấp các lỗ hổng zero-day bị khai thác đối với phần mềm gián điệp Pegasus trên iPhone

Ngày 7/9 vừa qua,
Apple đã phát hành các bản cập nhật khẩn cấp cho các thiết bị iOS, iPadOS, macOS và watchOS
nhằm vá 2 lỗ hổng zero-day đã bị khai thác để phát tán phần mềm gián điệp
Pegasus của Tập đoàn NSO.

NSO là một tổ chức của Isarel chuyên sản xuất các phần mềm gián điệp và đã triển khai ít nhất ba phương thức khai thác “zero-click” mới vào iPhone trong năm 2022 để xâm nhập vào hệ thống phòng thủ do Apple dựng lên.

Pegasus là phần mềm gián điệp có thể ghi lại các cuộc trò chuyện sử dụng camera, xác định vị trí của người dùng điện thoại, truy cập các tệp tin, các cuộc trò chuyện qua SMS, kể cả dịch vụ nhắn tin được mã hóa. Pegasus có thể cho phép các tin tặc sử dụng phần mềm này truy cập vào ổ cứng của điện thoại bị nhiễm mã độc, qua đó có thể xem hình ảnh, video, email và văn bản, ngay cả trên các ứng dụng liên lạc được mã hóa, chẳng hạn như Signal.

Hai lỗ hổng bảo mật được mô tả dưới đây:

• CVE-2023-41061: Sự cố xác thực trong Wallet có thể dẫn đến việc thực thi mã tùy ý khi xử lý tệp đính kèm được tạo độc hại.
• CVE-2023-41064: Sự cố tràn bộ đệm trong thành phần I/O hình ảnh có thể dẫn đến việc thực thi mã tùy ý khi xử lý hình ảnh được tạo độc hại.

Các bản cập nhật có sẵn cho các thiết bị và hệ điều hành sau:

• iOS 16.6.1 và iPadOS 16.6.1: Đối với iPhone 8 trở lên, iPad Pro (tất cả các kiểu máy), iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 5 trở lên và iPad mini thế hệ thứ 5 trở lên.
• macOS Ventura 13.5.2: Thiết bị macOS chạy macOS Ventura.
• watchOS 9.6.2: Apple Watch Series 4 trở lên.
• watchOS 9.6.2: Apple Watch Series 4 trở lên.

Trong một cảnh báo, các nhà nghiên cứu tại Nhóm giám sát an ninh Internet Citizen Lab tiết lộ các lỗ hổng này đã được sử dụng trong các chuỗi tấn công iMessage zero-click có tên là “Blastpass” để triển khai Pegasus trên iPhone được vá đầy đủ chạy phiên bản iOS 16.6.

Các nhà nghiên cứu Citizen Lab cho biết: “Chuỗi khai thác có khả năng xâm nhập vào iPhone chạy phiên bản iOS mới nhất (16.6) mà không có bất kỳ tương tác nào từ nạn nhân. Việc khai thác liên quan đến các tệp đính kèm PassKit chứa hình ảnh độc hại được gửi từ tài khoản iMessage của kẻ tấn công tới nạn nhân. Phát hiện mới nhất này một lần nữa cho thấy người dùng cuối và dân sự là mục tiêu của các hoạt động khai thác và phần mềm gián điệp tinh vi”.

Tin tức về các lỗ hổng zero-day này xuất hiện khi Chính phủ Trung Quốc được cho là đã đưa ra lệnh cấm các quan chức của chính quyền trung ương và địa phương sử dụng iPhone và các thiết bị mang nhãn hiệu nước ngoài khác để làm việc nhằm giảm sự phụ thuộc vào công nghệ nước ngoài, trong bối cảnh căng thẳng thương mại giữa Mỹ và Trung Quốc đang tiếp tục leo thang.

Để bảo vệ thiết bị trước các cuộc tấn công của phần mềm gián điệp, người dùng nên tải các bản cập nhật hệ điều hành mới nhất, nâng cấp các thiết bị lỗi thời trên các mẫu iPhone hoặc iPad mới và cân nhắc bật chế độ khóa.