Pegasus, алатка на израелскиот производител NSO Group, е веројатно најмоќниот софтвер за шпионирање на iPhone. Apple активно се обидува да го оневозможи и доаѓаат нови закрпи со оваа цел.

Apple објави итна и непланирана закрпа за своите главни оперативни системи: iOS, iPadOS, macOS и watchOS, за да ја оневозможи експлоатацијата на неодамна откриената ранливост кај нив. Според документите, објавени со закрпите, се работи за пропусти кои овозможиле извршување на далечински команди, т.е. преземање контрола на одредени функции на уредот, без потреба од интеракција со корисникот.

Овој пристап „zero click“ можеше да се искористи за инсталирање на злогласната шпионска алатка Pegasus, развиена од израелската групација НСО и често се користи за прислушување. Apple веќе во неколку наврати ги „закрпи“ своите оперативни системи, па дури и го вгради „Lockdown Mode“ во iOS за да спречи тој софтвер да се инфилтрира во уредите.

Новите закрпи поправаат два безбедносни пропусти. Првиот е во рамката Image I/O, односно во системот за манипулирање со датотеки со фотографии. Откриено е дека овој систем овозможува извршување на команди од далечина, доколку на уредот се отвори специјално обработена фотографија, со вграден злонамерен приклучок.

Уште еден пропуст беше откриен во апликацијата за дигитални паричник, Wallet. Резултатот од пропустот можеше да биде ист – ако специјално изработен документ беше испратен до уредот, тој ја отвори вратата за далечинско извршување на кодот или инсталацијата на Pegasus, кој може да направи многу поголема штета.

Недостатоците беа откриени од истражувачите на Citizen Lab пред две недели, со испитување на iPhone на лице вработено во неименувана граѓанска организација во Вашингтон. Експертите го пронајдоа Pegasus на него, а потоа успеаја да го идентификуваат начинот на инсталирање во iOS 16.6.

Тие велат дека станува збор за сериозна ранливост, бидејќи уредот на жртвата може да биде компромитиран едноставно со испраќање фотографија или прилог преку пораки (WhatsApp или слично) или со отворање на заразена датотека преку прелистувачот Safari. Критичните пропусти беа каталогизирани како CVE-2023-41064 и CVE-2023-41061 и пријавени на Apple, кој брзо објави закрпи за нив.

iOS 16.6.1, iPadOS 16.6.1, macOS 13.5.2 и watchOS 9.6.2 се достапни за over-the-air надградба во моментов, а највисоката препорака е да ги преземете и инсталирате веднаш, со оглед на тоа што напаѓачите очигледно веќе активно користете ги опишаните безбедносни дупки.