Zerodays in Chrome en iOS gebruikt voor aanval met Predator-spyware

[Captain Kirk]

Recent verholpen zerodaylekken in Google Chrome en iOS zijn gebruikt voor het infecteren van de smartphone van een voormalig Egyptisch parlementslid met de Predator-spyware, zo stellen onderzoekers van Citizen Lab en Google. De aanval vond plaats via een Man-in-the-Middle (MitM) aanval en linkjes die via sms werden verstuurd.

Deze week kwam Apple met beveiligingsupdates voor drie actief aangevallen zerodaylekken die het mogelijk maken om een toestel volledig over te nemen. Alleen het bezoeken van een malafide of gecompromitteerde website of het te zien krijgen van een besmette advertentie is hiervoor voldoende. Er is geen verdere interactie van gebruikers vereist.

Om de iPhone van parlementslid Ahmed Eltantawy met de Predator-spyware te infecteren stuurden de aanvallers linkjes in sms-berichten die zogenaamd van WhatsApp afkomstig leken. Daarnaast werd er een MitM-aanval toegepast wanneer Eltantawy HTTP-sites bezocht. Het voormalige parlementslid werd dan stilletjes naar een malafide website doorgestuurd die de aanval op zijn iPhone uitvoerde.

Volgens Google beschikten de aanvallers ook over een zerodaylek in Chrome om de Predator-spyware op Androidtelefoons in Egypte te installeren. Deze kwetsbaarheid is inmiddels door Google verholpen. Volgens het techbedrijf laten de aanvallen het belang van HTTPS zien, dat netwerkinjectie via een MitM-aanval moet voorkomen. Hiervoor biedt Chrome de “HTTPS-First Mode”, waarbij websites altijd over HTTPS worden geladen en er een waarschuwing verschijnt als er wordt teruggevallen op HTTP.

De Predator-spyware geeft aanvallers vergaande controle over de telefoon van slachtoffers, die zo zijn te bespioneren. De malware wordt aangeboden door het bedrijf Cytrox. Citizen Lab en Google stellen dat de spyware-aanval weer een voorbeeld is van misbruik door het groeiende aantal commerciële spywareleveranciers.

 

bron: https://www.security.nl