Oszustwo zero-click: coś jak oszustwo „na policjanta”, ale bez policjanta

Regularnie ostrzegamy przed próbami oszustw, które opierają się na błędzie ofiary: kliknięciu w zainfekowany link, pobraniu aplikacji przechwytującej dane do konta, zaufaniu osobie podającej się za policjanta / pracownika banku / firmę kurierską i przelanie jej lub fizyczne wydanie pieniędzy. Aby doszło do kradzieży pieniędzy czy danych nie jest jednak konieczne żadne działanie ze strony ofiary.

– Czasami błąd ze strony użytkownika nie jest konieczny. To właśnie dlatego ataki typu zero-click stały się efektywnym sposobem działań cyberprzestępców. Dzięki nim możliwe jest rozpowszechnianie złośliwego oprogramowania, nawet bez żadnego błędu ze strony użytkownika. To jedna z najbardziej zaawansowanych form cyberprzestępczości, w odróżnieniu np. od dobrze znanych nam, pełnych oczywistych, czasami wręcz zabawnych błędów gramatycznych, wiadomości phishingowych. W przypadku ataków zero-click trudno zorientować się, że jesteśmy atakowani – mówi Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

Zero-click: przecież ja nic nie zrobiłem

Czym są ataki typu „zero-click”? W przeciwieństwie do tradycyjnych metod, polegających na nakłanianiu użytkowników do otwarcia zainfekowanego załącznika lub kliknięcia podejrzanego linku, te ataki nie wymagają interakcji z ofiarą.

W większości przypadków ataki tego rodzaju bazują na lukach bezpieczeństwa w aplikacjach, np. tych służących do przesyłania wiadomości, SMS-ów, a nawet e-maili. W przypadku, gdy dana aplikacja posiada niezałataną lukę, atakujący może manipulować jej danymi. Cyberprzestępcy mogą umieszczać złośliwy kod w obrazach lub wiadomościach tekstowych, które następnie wysyłają użytkownikowi.

Brak konieczności interakcji z ofiarą sprawia, że trudniej jest wykryć szkodliwą działalność. To z kolei otwiera drogę do instalacji szpiegującego oprogramowania, stalkerware’u oraz innych form malware’u. Ponadto przestępcy mogą śledzić i zbierać dane z zainfekowanego urządzenia.

Na przykład w 2019 r. odkryto, że WhatsApp był podatny na konkretny atak typu zero-click, w którym nieodebrane połączenie pozwalało wykorzystać lukę w kodzie aplikacji. W ten sposób atakujący mogli zainfekować oprogramowaniem szpiegującym urządzenie, na którym znajdowała się aplikacja. Na szczęście deweloperzy zdołali szybko załatać tę lukę.

Czy da się chronić przed niewidzialnym wrogiem?

Obecnie coraz więcej firm skupia się na ochronie przed atakami typu zero-click. Na przykład, telefony Samsung oferują rozwiązanie Samsung Message Guard, które zabezpiecza użytkowników, ograniczając ryzyko narażenia na niewidoczne zagrożenia ukryte np. w załącznikach graficznych. Samsung Message Guard analizuje pliki bit po bicie i przetwarza je w kontrolowanym środowisku, odizolowanym od reszty systemu operacyjnego, podobnie jak wiele nowoczesnych rozwiązań antywirusowych.

Apple również wprowadziło rozwiązanie mające na celu ochronę użytkowników przed atakami typu zero-click. BlastDoor w podobny sposób analizuje dane w iMessage, uniemożliwiając interakcję między wiadomościami a systemem operacyjnym dzięki zastosowaniu technologii sandboxingu. Dzięki temu utrudnione jest przedostanie się potencjalnych zagrożeń poza tę usługę. Rozwiązanie to zostało wprowadzone po odkryciu luki bezpieczeństwa w iMessage, którą wykorzystano do zainstalowania oprogramowania szpiegującego na urządzeniach osób publicznych, głównie polityków i aktywistów. Przestępcy byli w stanie odczytywać ich wiadomości, podsłuchiwać połączenia, zbierać hasła, śledzić lokalizacje urządzeń oraz uzyskiwać dostęp do mikrofonów i kamer.

Co zatem zrobić, aby nie paść ofiarą ataku zero-click? Oto najważniejsze zalecenia:

• Aktualizuj swoje urządzenia i aplikacje.
• Kupuj telefony marek, które cieszą się dobrą renomą pod względem regularnej aktualizacji zabezpieczeń.
• Pobieraj aplikacje z oficjalnych sklepów, takich jak Google Play lub Apple App Store, które weryfikują wszystkie zamieszczane aplikacje pod kątem ewentualnych szkodliwych funkcjonalności.
• Jeśli nie używasz danej aplikacji, usuń ją.
• Regularnie twórz kopie zapasowe danych z urządzenia, aby mieć możliwość odzyskania ich, jeśli pojawi się konieczność przywrócenia go do ustawień fabrycznych.
• Wzmocnij swoje bezpieczeństwo instalując mobilne rozwiązanie antywirusowe.