«Касперский» нашел в iOS дыру на $1 млн. Apple отказалась выплатить выигрыш

«Лаборатория Касперского» сообщила, что в 2023 году обнаружила zero-day и zero-click уязвимости в iOS, которые позволяли злоумышленникам внедрить шпионский модуль на любой iPhone без участия пользователя.

Эти уязвимости были найдены в рамках расследования атаки, которая получила название «Операция Триангуляция» (Operation Triangulation). Атака использовала уязвимости в iMessage, позволяя запускать вредоносный код без какого-либо взаимодействия со стороны владельца устройства.

Реакция Apple

Несмотря на значимость обнаруженных уязвимостей, Apple отказалась выплатить вознаграждение в размере до $1 млн по программе Apple Security Bounty.

Дмитрий Галов, руководитель российского исследовательского центра «Лаборатории Касперского», сообщил, что компания передала всю информацию об уязвимостях купертиновцам, но не получила вознаграждение, даже при условии его передачи на благотворительность.

Контекст и последствия

В начале июня 2023 года ФСБ России заявила о масштабной шпионской акции, проведенной с использованием уязвимостей в iOS, что повлияло на тысячи iPhone в России и за рубежом, включая устройства сотрудников посольств и диппредставительств.

«Лаборатория Касперского» опубликовала отчет, утверждая, что шпионские модули могли собирать данные с зараженных устройств, такие как геолокация, файлы, контакты, камеры и микрофоны.

Шаги по обеспечению безопасности

После обнаружения уязвимостей, Apple признала проблему и выпустила обновления для iOS, устраняющие данные уязвимости (CVE-2023-32434 и CVE-2023-32435). В обновлениях были упомянуты сотрудники «Лаборатории Касперского», обнаружившие эти уязвимости.

В ответ на инцидент, «Лаборатория Касперского» приняла решение перевести своих сотрудников на мобильные устройства с Android, чтобы иметь больше контроля над безопасностью устройств.

Дмитрий Галов отметил, что Android предоставляет больший функционал для управления мобильными устройствами (MDM), что позволяет более эффективно реагировать на кибератаки.