Advertenties zouden heel goed mogelijk de volgende manier kunnen worden waarmee telefoons stilletjes met spyware worden geïnfecteerd, zo vreest Bill Marczak van Citizen Lab. Hij adviseert iPhone-bezitters om de Lockdown Mode in te schakelen, aangezien daarmee aanvallen die wel twintig miljoen dollar kunnen kosten zijn te stoppen.

De afgelopen jaren zijn smartphones een geliefd doelwit van commerciële spywareleveranciers, die zerodaylekken gebruiken om slachtoffers te infecteren. Deze bedrijven stellen dat hun spyware opsporingsdiensten in staat stelt om terroristen en criminelen op te sporen, maar in de praktijk blijkt herhaaldelijk dat journalisten, activisten, politieke oppositie en andere personen die kritiek op de overheid hebben doelwit van deze spyware-aanvallen worden.

Citizen Lab, onderdeel van de universiteit van Toronto, is één van de vooraanstaande organisaties die zich met het onderzoek naar commerciële spywareleveranciers bezighoudt en getroffen activisten, politici en journalisten bijstaat. Op deze manier hebben de onderzoekers van Citizen Lab al meerdere zerodaylekken gevonden, die vervolgens door de betreffende softwareleverancier konden worden verholpen.

Onlangs gaf Marczak tijdens het IMEDD International Journalism Forum 2023 een presentatie over 'mercenary spyware' en de ontwikkelingen op dit gebied. Volgens de spywarebestrijder worden er inmiddels bedragen tot twintig miljoen dollar betaald voor zeroday-exploits waarmee smartphones op afstand zijn te compromitteren. Veel van deze aanvallen vinden plaats door een doelwit op een link te laten klikken, waarbij er een malafide pagina met exploit wordt geladen. Ook vinden er 'zero-click' aanvallen plaats, waarbij er geen enkele interactie van het slachtoffer is vereist. Daarnaast kwam Citizen Lab onlangs met onderzoek naar een aanval op een Egyptische journalist en politicus, waarbij er van een man-in-the-middle-aanval gebruik was gemaakt.

Spywareleveranciers kijken ook naar andere methodes om doelwitten te infecteren. De Israëlische krant Haaretz kwam onlangs met een bericht dat 'cyberbedrijven' in het land technologie hebben ontwikkeld waarmee ze door middel van advertenties hun spyware kunnen verspreiden. De huidige advertentiemarkt maakt het mogelijk voor adverteerders om hun advertenties zeer gericht aan bepaalde groepen op bepaalde sites aan te bieden. In het verleden hebben cybercriminelen hier al geregeld misbruik van gemaakt, maar nu zouden ook spywareleveranciers hiermee bezig zijn.

"Dit is een technologie die niet alleen door Israëlische bedrijven is ontwikkeld, maar ook door andere bedrijven en het doemt op aan de horizon en vindt misschien al plaats, maar het is heel lastig om te meten en zeer moeilijk te detecteren, maar dit is denk ik de volgende evolutie als het om stealth gaat", merkt Marczak op. Daarnaast maakt hij zich zorgen over de zero-click-aanvallen die plaatsvinden.

Bescherming

Om spyware-aanvallen te voorkomen adviseert Marczak het verwijderen van niet gebruikte chatapps, omdat die als aanvalsvector kunnen fungeren. Verder raadt hij iPhone-bezitters aan om de Lockdown Mode van Apple in te schakelen. Deze mode beperkt bepaalde functionaliteiten, wat het aanvalsoppervlak voor aanvallers moet verkleinen. Zo zullen in Lockdown Mode de meeste bijlagetypes voor berichten worden geblokkeerd. Alleen bepaalde afbeeldingen zijn toegestaan. Twee recente exploits die de NSO Group gebruikte voor het verspreiden van de Pegasus-spyware werkten niet tegen iPhones met de Lockdown Mode. Ook een andere exploit werd op deze manier gestopt.