Hakovanje WhatsAppa sada vredi 8 miliona dolara

Mobilni telefoni, 06.10.2023, 02:00 AM

Zahvaljujući naporima proizvođača i sigurnosnim mehanizmima koje su razvili, hakovanje mobilnih telefona, bez obzira da li je reč o iOS ili Androidu, postalo je veoma skupo. Tehnike hakovanja aplikacija, poput WhatsAppa, sada vrede milione dolara.

Prošle nedelje je ruska kompanija Operation Zero koja prodaje i kupuje nedostatke u softveru za koje proizvođači ne znaju (tzv. nulti dan, zero-day), na svom Telegram nalogu i nalogu na društvenoj mreži X, ponudila je 20 miliona dolara za bagove koji bi omogućili njihovim klijentima, za koje je rečeno da su ruske privatne i vladine organizacije, da daljinski hakuju telefone koji koriste iOS i Android. Tako velika cena je delom posledica činjenice da nema mnogo istraživača koji su voljni da rade sa Rusijom zbog rata u Ukrajini, zbog čega je ruska vlada u trenutnim okolnostima spremna da plati mnogo.

Ali i van Rusije, cene za bagove u pojedinim aplikacijama su porasle.

Istraživač sajber-bezbednosti može preko noći da zaradi do 8 miliona dolara ako pronađe slabost u WhatsAppu i proda je onom ko ponudi najviše, navodi se u procurelim dokumentima do kojih je došao TechCrunch.

Od 2021. godine, nulti dan koji omogućava hakovanje WhatsApp na Androidu i čitanje poruka može da košta između 1,7 i 8 miliona dolara, prenosi američka novinska agencija.

Lanac eksploatacije - gde su višestruke slabosti koriste zajedno - može doneti do 20 miliona ako može da zloupotrebi nedostatke u Androidu i iOS-u.

U jednom od dokumenata koji je procurio navodi se da je neimenovana kompanija prodavala jednu grešku bez klika i daljinsko izvršavanje koda (RCE) za oko 1,7 miliona dolara. „0-klik“ znači da se greška može iskoristiti bez ikakve interakcije sa žrtvom, dok RCE znači da se slabost može daljinski iskoristiti.

„U dokumentu se kaže da je eksploatacija funkcionisala na Androidu, na verzijama od 9 do 11, i da je iskoristila grešku u „biblioteci za prikazivanje slika“, navodi se u izveštaju.

Iako su ovi nedostaci sada zakrpljeni, novi se pojavljuju skoro svakog meseca, uključujući i one za iPhone. Samo ove godine, Apple je izdao preko desetak hitnih bezbednosnih ažuriranja kako bi uklonio ranjivosti nultog dana, od kojih su mnoge navodno korišćene u napadima komercijalnog špijunskog softvera.

Ogromna popularnost WhatsAppa čini ga primamljivom metom za hakere iza kojih stoje države, koji žele da špijuniraju mete visokog profila poput političara, novinara, disidenata i drugih. Ovi napadači su spremni da dobro plate za pristup osetljivim podacima i komunikacijama svojih protivnika.

U nastojanju da se bori protiv ove rastuće pretnje, Apple je prošle godine uveo Lockdown Mode na iOS i macOS, funkciju dizajniranu da drastično smanji mogućnosti za napade hakera ograničavanjem funkcionalnosti u određenim aplikacijama i uslugama.

2019., istraživači su uhvatili kupce softvera za praćenje Pegaz, ozloglašenog proizvođača špijunskog softvera NSO Group sa sedištem u Izraelu, koji su koristili nulti dan za špijuniranje ciljeva preko WhatsAppa. Ubrzo nakon toga i Apple i WhatsApp tužili su NSO zbog hakovanja telefona više od hiljadu korisnika WhatsAppa.

Pegaz je, kao i većina drugih vrsta špijunskog softvera, posebno dizajniran da iskoristi skupe greške opisane u TechCrunchovom izveštaju i može da pristupi skoro svakoj vrsti podataka na ciljnom uređaju, uključujući poruke, slike i podatke o lokaciji. Takođe može da snima zvuk preko mikrofona telefona, kao i da snima fotografije preko prednje i zadnje kamere uređaja.