L’update d’emergenza iOS 9.3.5 rilasciato dopo la segnalazione di un difensore dei diritti umani

L’update a iOS 9.3.5 per iPad e iPhone, come abbiamo spiegato qui, corregge tre importanti vulnerabilità ed è stato rilasciato a solo dieci giorni di distanza dalle segnalazioni che due ricercatori specializzati in sicurezza informatica avevano inviato a Cupertino. Apple ha corretto con urgenza le vulnerabilità zero-day dopo la scoperta di uno spyware che aveva come target l’iPhone usato da Ahmed Mansoor, difensore dei diritti umani che si batte per il diritto alla libertà di espressione negli Emirati Arabi Uniti.

NSO Group, un gruppo di mercenari specializzato nella vendita di vulnerabilità, avrebbe venduto suoi servizi per spiare dissidenti e giornalisti. L’azienda israeliana avrebbe sviluppato un ricercato spyware in grado in grado di localizzare l’utente, ottenere i contatti, messaggi, log delle chiamate, email e attivare in remoto il microfono.

Ahmed Mansoor, un uomo di 46 anni che quasi in perfetta solitudine, si batte per il diritto alla libertà di espressione negli Emirati e che lo scorso anno ha ricevuto il `Premio Martin Ennals´ per i diritti umani, il 10 agosto ha ricevuto sul suo iPhone un messaggio da un numero sconosciuto. Il messaggio è sembrato sospetto e sapendo che hacker governativi in passato lo avevano già preso di mira, ha girato il messaggio a Bill Marczak, ricercatore di Citizen Lab. Quest’ultimo a un certo punto ha chiesto aiuto anche a Lookout, azienda di San Francisco specializzata in mobile security.

Analizzando l’SMS, i ricercatori hanno individuato un link che porta a un ricercato malware che era in grado di sfruttare tre diverse vulnerabilità fino allora non conosciute e con le quali era possibile prendere controllo del dispositivo di Mansoor. Una delle vulnerabilità riguarda problemi di corruzione di memoria sfruttando la quale era possibile prendere controllo del dispositivo, altre due riguardavano il kernel (sono le stesse che si usano ad esempio per il jailbreak) e avrebbero consentito l’installazione di un malware sul telefono-target all’insaputa dell’utente.

Apple consiglia a tutti l’installazione dell’update a iOS 9.3.5, fondamentale per risolvere le vulnerabilità in questione. La tecnica dell’invio di messaggi che invitano ad attivare link è usata da tempo dai cybercriminali per prendere controllo di dispositivi mobili di vario tipo. La raccomandazione più ovvia è di non attivare mai link inviati da sconosciuti via SMS.