Xem nhanh
NSO Group là một công ty công nghệ bảo mật, nhưng hoạt động chính lại là phát triển các công cụ chiến tranh mạng và bán cho Chính phủ các nước.
Apple vừa mới phải tung ra bản cập nhật iOS 9.3.5 để vá lỗ hổng bảo mật vô cùng nguy hiểm cho phép hacker có thể jailbreak thiết bị từ xa. Một vụ tấn công lợi dụng các lỗ hổng bảo mật này đã bị Citizen Lab và Lookout Security phát hiện, kẻ đứng sau được cho là một tổ chức có tên NSO Group.
Vụ tấn công mới đây nhắm vào một nhà hoạt động nhân quyền người Ả-rập, ông Ahmed Mansoor. Cách thức mà hacker sử dụng trong vụ tấn công lần này rất tinh vi, để có thể jailbreak chiếc iPhone từ xa và chiếm quyền điều khiển, đọc các tin nhắn đã được mã hóa, theo dõi vị trí của thiết bị.
Citizen Lab và Lookout Security cho biết những người đứng đằng sau vụ tấn công này rất có thể là một công ty công nghệ bí mật của Israel, có tên NSO Group. Các hoạt động của công ty này luôn được giữ bí mật, vì vậy việc điều tra gặp rất nhiều khó khăn.
Chỉ biết được rằng NSO Group chuyên phát triển các công cụ giúp hack và bán cho các chính phủ, quân đội và cơ quan tình báo trên khắp thế giới. NSO Group được sáng lập bởi Omri Lavie and Shalev Hulio, hiện tại cả 2 đều không đưa ra bất kỳ bình luận gì trước các cáo buộc trên.
Đây là tất cả những gì chúng ta đã biết về NSO Group và kịch bản của vụ tấn công vừa qua.
NSO Group có mối quan hệ đặc biệt với chính phủ Israel
NSO Group được thành lập vào năm 2009 bởi Omri Lavie and Shalev Hulio. Theo hồ sơ LinkedIn, cả 2 nhà đồng sáng lập này trước đây đều đã từng hoạt động trong chính phủ Israel.
Hulio thì đã từng dẫn dắt một công ty hoạt động dưới sự đầu tư và kiểm soát của Bộ Quốc phòng Israel. Trong khi đó Lavie đã từng là một nhân viên của Chính phú Israel. Nhiều nhân viên của NSO Group cũng đã từng làm việc tại Cơ quan An ninh Quốc gia của Israel (một phiên bản khác của cơ quan NSA Mỹ).
Một công ty công nghệ với các hoạt động mơ hồ
Trong những mô tả mơ hồ về công ty, NSO Group cho biết họ là “Công ty hoạt động trong lĩnh vực giải pháp phần mềm, nghiên cứu bảo mật và bảo mật Internet. Các giải pháp cho nhiều nền tảng, như máy tính và thiết bị di động”.
Các hoạt động của công ty cũng được liệt kê với danh sách bao gồm: an ninh mạng, bảo mật di động, các mối đe dọa an ninh mạng. Và đặc biệt là thử nghiệm những công cụ gián điệp công nghệ cao, có vẻ như đây mới là hoạt động chính của NSO Group.
Tuy nhiên các hoạt động của công ty Israel này luôn được giữ bí mật và không bao giờ được công khai. Có vẻ như đó đều là các hoạt động mờ ám. Trong khi NSO Group vẫn tăng trưởng khá đều đặn với số lượng nhân viên đã tăng gấp đôi sau 2 năm.
Kinh doanh vũ khí “chiến tranh mạng”
Một bản tài liệu mới được đăng tải bởi Privacy International đã cho chúng ta có cái nhìn rõ hơn về những gì NSO Group thực sự đang làm. Đó là cung cấp giải pháp và công cụ giúp hack thiết bị di động cho các chính phủ và cơ quan tình báo, những tổ chức thực thi pháp luật.
Trong tài liệu này, NSO Group tự xưng là “nhà lãnh đạo trong lĩnh vực chiến tranh mạng” với một công cụ mới có tên “Pegasus”. Đây là một công cụ chiến tranh mạng thế hệ mới, cho phép xâm nhập, theo dõi và trích xuất tất cả các dữ liệu từ thiết bị di động. Điều quan trọng là nó có thể thực việc tất cả những việc đó từ xa và không để lại dấu vết.
Theo Wall Street Journal, NSO Gourp đã nhận được 8 triệu USD từ chính phủ Panama để bán lại công cụ Pegasus này. Vụ tấn công vào chiếc iPhone của nhà hoạt động nhân quyền Ahmed Mansoor mới đây cũng là do Pegasus thực hiện, rất có thể chính phủ các Vương quốc Ả-rập Thống nhất cũng là khách hàng của NSO Gourp.
Báo cáo của Reuters cho biết, lợi nhuận trong năm 2015 của NSO Group là khoảng 75 triệu USD.
Công cụ Pegasus và kịch bản tấn công các thiết bị iOS từ xa
Pegasus có thể lây nhiễm vào thiết bị iOS bằng 2 cách là “zero-click” và “one-click”, cả 2 đều thông qua tin nhắn văn bản SMS.
Zero-click cho phép kẻ tấn công gửi một tin nhắn SMS đặc biệt tới thiết bị của mục tiêu, khiến cho thiết bị tự động tải về phần mềm độc hại. One-click thì yêu cầu người dùng click vào một liên kết web, sau đó phần mềm độc hại sẽ tự động được tải về trong trạng thái nền (background) mà người dùng không hề hay biết.
Một khi iPhone/iPad đã bị nhiễm Pegasus, những kẻ tấn công có thể chủ động kích hoạt thu âm bằng micro hoặc quay video bằng camera của máy, đánh cắp các dữ liệu cá nhân bao gồm cả email, hình ảnh hay lịch sử duyệt web. Mật khẩu tài khoản các dịch vụ web của người dùng cũng bị đe dọa.
Tin nhắn gửi cho ông Ahmed Mansoor với link chứa mã độc.
Đồng sáng lập Lavie khẳng định: “Công cụ của chúng tôi giống một con ma, vô hình trước các mục tiêu và không bao giờ để lại dấu vết”.
Trong trường hợp tấn công vào chiếc iPhone của ông Ahmed Mansoor, đã cập nhật iOS 9.3 mới nhất. Những kẻ tấn công đã lợi dụng 3 lỗ hổng bảo mật “zero-day”, để gửi tin nhắn chứa mã độc cho đối tượng.
Hãng bảo mật Lookout gọi đây là “cuộc tấn công với thủ đoạn tinh vi nhất từ trước đến nay, mà chúng tôi từng thấy”. Hãng này cũng cho biết, với phương pháp này các kẻ tấn công có thể cài mã độc Pegasus vào tất cả các thiết bị iOS từ iOS 7 cho đến cả phiên bản mới nhất.
Rất may là Apple đã cập nhật iOS 9.3.5 để vá các lỗ hổng bảo mật zero-day nghiêm trọng này.
Theo GenK
