Exploit de día cero y cero clic para iPhone del Grupo NSO capturado en estado salvaje

• Apple anunció actualizaciones para productos como iPhone, iPad, computadoras Mac y Apple Watch, corrigiendo una vulnerabilidad de cero clic aprovechada por el spyware Pegasus del Grupo NSO
• Citizen Lab descubrió un exploit llamado BLASTPASS en un dispositivo propiedad de una persona de una organización de la sociedad civil con sede en Washington DC
• BLASTPASS puede comprometer un iPhone con la versión más reciente de iOS (16.6) sin interacción de la víctima, usando una imagen maliciosa enviada a través de iMessage
• Citizen Lab reveló su hallazgo a Apple y colaboró en la investigación, lo que llevó a la emisión de dos CVE relacionados con esta cadena de explotación (CVE-2023-41064 y CVE-2023-41061)
• Se recomienda a los usuarios actualizar sus dispositivos de inmediato y considerar activar el Lockdown Mode, conocido por bloquear este ataque específico
• El descubrimiento de BLASTPASS subraya la importancia de apoyar a las organizaciones de la sociedad civil, que a menudo actúan como un sistema de alerta temprana frente a amenazas cibernéticas complejas
• Las actualizaciones de Apple ayudarán a mantener seguros los dispositivos de usuarios comunes, empresas y gobiernos de todo el mundo

[GN⁺]

Comentarios en Hacker News

• Debate sobre un artículo acerca de un exploit de día cero y zero-click para iPhone del grupo NSO
• A algunos usuarios les parece interesante que, pese a posibles ventajas como el ahorro de batería en el modo Lockdown, solo se recomiende a usuarios que enfrentan un riesgo directo
• Este exploit incluye un desbordamiento de búfer en la decodificación de imágenes, similar a un exploit anterior de 2021
• Hay preocupación por la cantidad de exploits que tiene iMessage, y se propone limitar el primer mensaje de contactos nuevos a texto plano y restringir los demás a un subconjunto muy limitado
• El artículo menciona que la corrección del exploit se lanzó el mismo día del anuncio e insta a los usuarios a aplicar la actualización
• Algunos usuarios creen que no basta con que el grupo NSO esté en la lista negra del Departamento de Comercio y que debería recibir sanciones más severas
• Hay especulación sobre si el modo Lockdown habría podido prevenir este ataque y sobre si alguien ha sido objetivo de un ataque de hackeo usando una vulnerabilidad de día cero
• Con la propuesta de que NSO sea designado como grupo de ciberterrorismo, algunos usuarios expresan sorpresa de que a menudo se culpe más a la víctima (iMessage de Apple y sus usuarios) que al agresor (NSO y sus clientes)
• El artículo menciona un hilo en curso sobre cómo iOS 16.6.1 corrige dos vulnerabilidades que están siendo explotadas activamente en la vida real
• Algunos usuarios expresan preocupación por la seguridad de los teléfonos Android considerando la frecuencia de las actualizaciones y la posibilidad de exploits
• Hay dudas sobre si Apple tiene alguna forma de detectar a las víctimas de este tipo de exploits y notificarles a los usuarios cuando se publique una corrección de seguridad