Coruna è uno spyware costruito da L3Harris, appaltatore della difesa americana, su commissione di un cliente governativo. A un certo punto, è finito nelle mani di un gruppo criminale cinese. Questi lo hanno nascosto dentro false piattaforme finanziarie e di criptovalute in lingua cinese: chiunque visitasse quei siti con un iPhone vulnerabile veniva infettato. Senza che servisse alcun clic o download.
Sul server che ospitava Coruna, i ricercatori di Google hanno trovato un secondo toolkit: DarkSword, collegato a un gruppo con base in Russia, che prendeva di mira chi visitava siti ucraini di informazione e governativi. Stesso meccanismo, stessa invisibilità.
Non è una storia nuova. Abbiamo raccontato Pegasus, lo spyware israeliano di NSO Group usato contro giornalisti, attivisti e capi di Stato. Abbiamo raccontato Graphite di Paragon, con cui erano stati spiati giornalisti italiani. Abbiamo raccontato anche come l’amministrazione Trump abbia revocato le sanzioni contro Predator, un altro strumento dello stesso mercato.
Il filo che lega queste storie è sempre lo stesso: armi digitali costruite per i governi che sfuggono al controllo e allargano la platea delle vittime. Quello che cambia, questa volta, è la direzione del contagio.
Spyware: dal governo al mercato
Fino a poco tempo fa, realizzare questi strumenti richiedeva grandi risorse. Le vulnerabilità su cui si basano, falle rare e preziose nei sistemi operativi dei telefoni, costavano milioni e venivano acquistate esclusivamente da governi e agenzie di intelligence. Chi aveva Pegasus aveva speso per averlo. Chi aveva Predator, idem.
Ora non è più così. “Con l’enorme afflusso di investimenti nei fornitori di spyware commerciale, si è creato un ecosistema attorno allo sfruttamento mobile che rende questi strumenti francamente, abbondanti”, ha dichiarato ad Axios Rocky Cole, co-fondatore di iVerify. Non rari, non inaccessibili. Abbondanti.
DarkSword ne è la prova più inquietante. I suoi sviluppatori hanno lasciato il codice JavaScript sul server senza offuscarlo, una svista non trascurabile per chi opera in questo campo. Chiunque, anche un criminale informatico senza particolari competenze, può copiarlo e adattarlo.
Justin Albrecht di Lookout va oltre: basandosi sulla denominazione di alcuni file interni al codice, ritiene probabile che parte del toolkit sia stata sviluppata con l’aiuto di un modello linguistico di grandi dimensioni. “Non sono convinto che questo gruppo sia nemmeno molto capace tecnicamente”, ha dichiarato.
L’IA, in questo scenario, non abbassa solo la barriera economica. Abbassa quella tecnica.
Il problema di Apple
Apple ha costruito una reputazione solida sulla sicurezza. Gli iPhone attirano anche utenti che proteggono comunicazioni sensibili (giornalisti, avvocati, funzionari pubblici), proprio perché il sistema è percepito come impermeabile.
La risposta ufficiale dell’azienda alle ricerche su Coruna e DarkSword segue lo schema consolidato: le vulnerabilità sfruttate sono già state corrette nelle versioni recenti di iOS, è stato rilasciato un aggiornamento d’emergenza per i dispositivi più datati, e Safari blocca i domini malevoli identificati dai ricercatori.
Il problema però non è l’ultima vulnerabilità corretta ma la velocità con cui ne emergono di nuove. E anche il fatto che milioni di utenti non aggiornano i propri dispositivi, per scelta o per impossibilità tecnica. “Ora ogni singolo utente iPhone deve preoccuparsene”, ha dichiarato Cole.
Cosa si può fare
La Modalità di isolamento di Apple (la funzione pensata per chi è esposto a rischi elevati, che limita alcune funzionalità del dispositivo per ridurre la superficie d’attacco) avrebbe bloccato completamente Coruna, ma solo in parte DarkSword.
Non sembra esiste una difesa infallibile contro gli attacchi watering hole, quelli in cui è sufficiente visitare un sito compromesso per essere infettati.
Le raccomandazioni dei ricercatori sono le stesse di sempre: aggiornare il sistema operativo, abilitare la Modalità di isolamento se si appartiene a categorie a rischio, usare strumenti di sicurezza di terze parti.
Misure utili, ma con un limite strutturale che Albrecht riconosce senza mezzi termini: “Purtroppo c’è ben poco che si possa fare come utente anche solo per rilevare l’infezione”. Il problema, in altre parole, non è solo difendersi. È sapere di essere stati colpiti.
Fonte: Axios
