“Sıfır tıklama, sıfır gün” istismarı, saldırganların NSO Group’un Pegasus casus yazılımını yüklemesine olanak tanıyor; bu yazılım, hedefin kısa mesajlarını okumalarına, çağrıları dinlemelerine, görüntüleri çalmalarına ve iletmelerine, konumlarını takip etmelerine ve daha pek çok şeye olanak tanıyor.
Bu istismar (“Blastpass” olarak anılıyor) ilk olarak Citizen Lab tarafından keşfedildi ve hemen Apple’a bildirildi. Pegasus’un Washington DC merkezli bir kuruluş çalışanının iPhone’una yüklemek için kullanıldığı bildirildi. Grup, “kurbanın herhangi bir etkileşimi olmadan” iOS’un en son 16.6 sürümünü çalıştıran cihazlara zarar verebileceğini yazdı.
iPhone kullananlara kritik uyarı! “Hemen güncelleyin!”
Apple, güvenlik açığına karşı koymak için iOS 16.6.1’i yayımladı ve yalnızca “kötü amaçla hazırlanmış bir ekin rastgele kod yürütülmesine neden olabileceğini” belirtti. Ayrıca Citizen Lab, “saldırıyı engellediğine inandığımız için risk altındaki tüm kullanıcılara Kilitleme Modunu etkinleştirmeyi düşünmelerini” bile tavsiye etti. Saldırının PassKit’i (geliştiricilerin Apple Pay’i uygulamalarına koymasına olanak tanıyan bir SDK), dolayısıyla Blastpass adını ve iMessage tarafından gönderilen kötü amaçlı görüntüleri içerdiğine inanılıyor. Açık nedenlerden dolayı Citizen Lab başka ayrıntı yayınlamadı.
Bu istismar aynı zamanda Biden yönetiminin bu yılın başlarında yaptığı yasağın ardından Pegasus’u tekrar gündeme getiriyor. İsrail merkezli siber silah şirketi NSO Group tarafından geliştirilen bu yazılım, birçok ülke tarafından gazeteciler, aktivistler ve diğerleri hakkında casusluk yapmak için kullanılmasının ardından heyecan yarattı. Kötü şöhretli bir vakada, bunun Suudi Arabistan tarafından daha sonra Türkiye’de öldürülen gazeteci Cemal Kaşıkçı hakkında casusluk yapmak için kullanıldığı bildirildi.
