على مستخدمي Apple تحديث جميع أجهزتهم فورًا، من iPhone وiPad وMac وApple Watch، لتثبيت تصحيح طارئ لثغرة يوم صفر لا تتطلب أي نقرة (zero-click)، استغلّتها مجموعة NSO لتثبيت برامج تجسس.

وتتضمن التحديثات الأمنية التي أصدرتها Apple يوم الاثنين الإصدار iOS 14.8 لأجهزة iPhone وiPad، إضافة إلى تحديثات جديدة لـ Apple Watch وmacOS. وستعالج التصحيحات ثغرة واحدة على الأقل قالت عملاقة التقنية إنها «ربما استُغلّت بشكل فعلي».

وكان Citizen Lab أول من اكتشف هذه الثغرة غير المسبوقة التي لا تتطلب أي نقرة، والتي رصدها تستهدف خدمة iMessage الشهر الماضي. ووفقًا لهذه الجهة الرقابية المختصة بالأمن السيبراني، يُزعم أنها استُخدمت للتجسس بشكل غير قانوني على ناشطين بحرينيين باستخدام برنامج التجسس Pegasus من مجموعة NSO.

وأطلق الباحثون الرقميون على ثغرة iMessage الجديدة اسم ForcedEntry.

وكانت Citizen Group قد أعلنت في أغسطس أنها حدّدت تسعة ناشطين بحرينيين أُصيبت أجهزة iPhone الخاصة بهم ببرنامج التجسس Pegasus بين يونيو 2020 وفبراير 2021. وتعرّضت هواتف بعض الناشطين لهجمات عبر iMessage لا تتطلب أي نقرة، شملت إلى جانب ForcedEntry ثغرة KISMET لعام 2020.

وبحسب ما كتبه Citizen Lab، شمل الناشطون ثلاثة أعضاء من جمعية وعد (جمعية سياسية بحرينية علمانية)، وثلاثة أعضاء من مركز البحرين لحقوق الإنسان، واثنين من المعارضين البحرينيين في المنفى، وعضوًا واحدًا من جمعية الوفاق (جمعية سياسية بحرينية شيعية).

وكانت ثغرة ForcedEntry لافتة بشكل خاص لأنها نُشرت بنجاح ضد أحدث إصدارات iOS، أي 14.4 و14.6، متجاوزةً ميزة العزل الجديدة BlastDoor من Apple لتثبيت برامج التجسس على أجهزة iPhone الخاصة بالناشطين البحرينيين.

ورصد Citizen Lab لأول مرة استخدام مجموعة NSO لثغرة ForcedEntry في فبراير 2021. وكانت Apple قد قدّمت BlastDoor قبل ذلك بشهر، وهو تحسين هيكلي في iOS 14 يهدف إلى منع الثغرات القائمة على الرسائل والتي لا تتطلب أي نقرة، مثل هذه الهجمات المرتبطة بمجموعة NSO. وكان يُفترض أن يمنع BlastDoor هذا النوع من هجمات Pegasus، إذ وصفه Samuel Groß من Google Project Zero بأنه خدمة «معزولة بإحكام» مسؤولة عن تحليل «معظم» البيانات غير الموثوقة في رسائل iMessage.

وفي منشور يوم الاثنين، قال باحثو Citizen Lab إنهم فحصوا في مارس 2021 هاتف ناشط سعودي طلب عدم الكشف عن هويته، وتبيّن أن الهاتف مصاب ببرنامج التجسس Pegasus من مجموعة NSO. ويوم الثلاثاء الماضي، 7 سبتمبر، أرسل Citizen Lab آثارًا من نوعين من الأعطال في هاتف آخر مصاب بـ Pegasus، مشتبهًا في أن الإصابتين تُظهران أجزاء من سلسلة استغلال ForcedEntry.

وأحال Citizen Lab هذه الآثار إلى Apple يوم الثلاثاء 7 سبتمبر. ويوم الاثنين 13 سبتمبر، أكدت Apple أن الملفات تضمنت ثغرة يوم صفر تستهدف iOS وmacOS. وقد صنّفت Apple ثغرة ForcedEntry تحت الرمز CVE-2021–30860، وهي ثغرة لم تُقيَّم خطورتها بعد، وصفتها Apple بأن «معالجة ملف PDF مصمَّم بشكل خبيث قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية».

تتبّع آثار مجموعة NSO

وصف Citizen Lab عدة عناصر مميّزة منحت الباحثين ثقة عالية بإمكانية ربط الثغرة بشركة NSO Group الإسرائيلية السرّية المطوّرة لبرامج التجسس، ومنها أثر جنائي رقمي يُدعى CascadeFail.

وCascadeFail خلل «تُحذف فيه الأدلة بشكل غير كامل من ملف DataUsage.sqlite في الهاتف»، وفقًا لـ Citizen Lab. ففي CascadeFail، «يُحذف إدخال من جدول ZPROCESS في الملف، لكن لا تُحذف الإدخالات في جدول ZLIVEUSAGE التي تشير إلى إدخال ZPROCESS المحذوف»، بحسب وصفهم.

وقالوا إن هذا يحمل بصمات مجموعة NSO: «لم نرَ هذا النوع من الحذف غير الكامل إلا مرتبطًا ببرنامج التجسس Pegasus من مجموعة NSO، ونعتقد أن الخلل مميّز بما يكفي ليشير إلى NSO».

ومن العلامات الكاشفة الأخرى: أسماء عمليات متعددة ثبّتتها ثغرة ForcedEntry، ومنها الاسم «setframed». وقد استُخدم اسم العملية هذا في هجوم ببرنامج التجسس Pegasus من مجموعة NSO على صحفي في قناة الجزيرة في يوليو 2020، وفقًا لـ Citizen Lab، وهي تفصيلة لم تكشفها الجهة الرقابية آنذاك.

وقد استُخدمت الثغرات عن بُعد التي لا تتطلب أي نقرة، مثل الأسلوب الجديد الذي استخدمه برنامج التجسس Pegasus لإصابة أجهزة Apple خفيةً دون علم الضحية أو حاجتها إلى النقر على أي شيء، لإصابة إحدى الضحايا لمدة وصلت إلى ستة أشهر. وهي كنز ثمين للحكومات والمرتزقة والمجرمين الذين يريدون مراقبة أجهزة أهدافهم سرًا دون أن يُكشف أمرهم.

وPegasus برنامج تجسس قوي، إذ يستطيع تشغيل كاميرا الهدف وميكروفونه لتسجيل الرسائل والنصوص والبريد الإلكتروني والمكالمات، حتى لو أُرسلت عبر تطبيقات مراسلة مشفّرة مثل Signal.

رواية Pegasus المهترئة

دأبت NSO على التأكيد أنها لا تبيع برامج التجسس إلا لعدد محدود من أجهزة الاستخبارات في دول خضعت لتدقيق شامل بشأن انتهاكات حقوق الإنسان. وحاولت الشركة مرارًا الحفاظ على هذه الرواية، متبعةً أسلوب التشكيك في أساليب Citizen Lab ودوافعه.

لكن كما أشار Hank Schless، المدير الأول لحلول الأمن في شركة Lookout المتخصصة في الأمن من نقاط النهاية إلى السحابة، فإن هذه الرواية باتت مهترئة إلى حد بعيد. وقال لموقع Threatpost يوم الاثنين: «إن الكشف مؤخرًا عن 50,000 رقم هاتف مرتبطة بأهداف عملاء مجموعة NSO كان كل ما احتاجه الناس لكشف زيف ادعاءات NSO».

وأوضح: «منذ أن اكتشفت Lookout وCitizen Lab برنامج Pegasus لأول مرة عام 2016، واصل التطور واكتساب قدرات جديدة. وبات من الممكن الآن نشره كثغرة لا تتطلب أي نقرة، ما يعني أن المستخدم المستهدف لا يحتاج حتى إلى النقر على رابط خبيث ليُثبَّت برنامج المراقبة.

وتابع Schless أنه رغم تغيّر أساليب إيصال البرمجية الخبيثة، تبقى سلسلة الاستغلال الأساسية كما هي: «يُسلَّم Pegasus عبر رابط خبيث يُوجَّه إلى الهدف بأساليب الهندسة الاجتماعية، ثم تُستغل الثغرة ويُخترق الجهاز، وبعدها تتواصل البرمجية الخبيثة مع خادم القيادة والتحكم (C2) الذي يمنح المهاجم سيطرة مطلقة على الجهاز. وتنشئ تطبيقات كثيرة تلقائيًا معاينة للروابط أو نسخة مخزّنة منها لتحسين تجربة المستخدم، ويستغل Pegasus هذه الوظيفة لإصابة الجهاز بصمت».

وقال Schless إن هذا مثال على مدى أهمية امتلاك الأفراد والمؤسسات على حد سواء رؤية واضحة للمخاطر التي تمثّلها أجهزتهم المحمولة، وPegasus ليس سوى «مثال متطرف، لكنه سهل الفهم».

وتابع: «هناك عدد لا يُحصى من البرمجيات الخبيثة التي يمكنها بسهولة استغلال الثغرات المعروفة في الأجهزة والبرامج للوصول إلى أكثر بياناتك حساسية. ومن منظور المؤسسات، فإن إغفال الأجهزة المحمولة في الاستراتيجية الأمنية الشاملة قد يمثّل ثغرة كبيرة في القدرة على حماية البنية التحتية بأكملها من الجهات الخبيثة. فبمجرد أن يسيطر المهاجم على جهاز محمول، أو حتى يخترق بيانات دخول المستخدم، يصبح له وصول حر إلى بنيتك التحتية بالكامل. وبمجرد دخوله إلى تطبيقاتك السحابية أو المحلية، يستطيع التحرك جانبيًا وتحديد الأصول الحساسة لتشفيرها في هجوم فدية أو تسريبها لبيعها لمن يدفع أكثر».

وأشار Kevin Dunne، رئيس شركة Pathlock المزوّدة لحلول تنسيق الوصول الموحّد، إلى أن إصابات Pegasus تُظهر حاجة الشركات إلى النظر إلى ما هو أبعد من تأمين الخوادم ومحطات العمل باعتبارها الأهداف الرئيسية للهجمات السيبرانية والتجسس. وأوضح: «تُستخدم الأجهزة المحمولة اليوم على نطاق واسع وتحتوي على معلومات حساسة يجب حمايتها».

وقال Dunne إنه لحماية نفسها من برامج التجسس، ينبغي على الشركات مراجعة استراتيجيتها لأمن الأجهزة المحمولة، خاصة عندما تأتي التهديدات بأشكال أكثر خبثًا بكثير من الرسائل النصية المشبوهة أو روابط التصيّد التي تستطيع فرق الأمن تدريب المستخدمين على تجنّبها.

وقال Dunne: «صمّم مهاجمو برامج التجسس الآن هجمات لا تتطلب أي نقرة، قادرة على الوصول الكامل إلى بيانات الهاتف والميكروفون والكاميرا عبر استغلال ثغرات في تطبيقات خارجية أو حتى في التطبيقات المدمجة. ويجب على المؤسسات التأكد من سيطرتها على التطبيقات التي ينزّلها المستخدمون على هواتفهم، وضمان تحديثها لمعالجة أي ثغرات».

نُشر في الأصل على https://threatpost.com

ابقَ على اطلاع! اشترك في نشرتنا الإخبارية على LinkedIn للحصول على رؤى الخبراء ونصائح الامتثال وأحدث المستجدات الأمنية.

ذو صلة: عملية تصيّد احتيالي جديدة عبر Apple iCloud تستهدف 1.8 مليار مستخدم لـ iPhone وما هو التصيّد الاحتيالي الموجّه؟.