Ngay trước thời điểm giới thiệu iPhone 13 và phát hành iOS 15, Apple đã bất ngờ tung bản cập nhật bảo mật khẩn cấp iOS 14.8 nhằm vá lỗ hổng lớn trên các mẫu iPhone trước đó. Ngoài ra, một số thiết bị khác cũng nhận được bán vá tương tự.
Theo The Verge, Apple vừa phát hành bản cập nhật mới cho iOS, macOS và watchOS để sửa một lỗi bảo mật nghiêm trọng, có thể bị lợi dụng cài đặt phần mềm gián điệp, được các nhà nghiên cứu bảo mật tại Citizen Lab cảnh báo từ tháng 8.
Theo đó, lỗ hổng cho phép cài đặt theo kiểu “zero-click”, có nghĩa là mục tiêu không làm bất cứ điều gì vẫn bị lây nhiễm phần mềm gián điệp Pegasus. Công cụ này có khả năng đánh cắp dữ liệu, mật khẩu, tự động kích hoạt micro hoặc camera của điện thoại.
Người dùng cần cập nhật iPhone ngay để vá lỗi bảo mật nguy hiểm. Ảnh: 9to5mac.
Pegasus sẽ tấn công người dùng bằng phương thức tấn công “không nhấp chuột”, có nghĩa nó không cần tương tác của người dùng. Bằng cách đánh bại hệ thống bảo mật BlastDoor của Apple, kẻ tấn công có thể cài đặt bộ phần mềm Pegasus cho mục đích giám sát.
Được biết, BlastDoor là hệ thống được Apple triển khai vào tháng 1.2021 để tăng lớp phòng thủ cho Messages với phần còn lại của iOS. Tin nhắn theo truyền thống là liên kết yếu nhất trong bảo mật của các thiết bị iOS, cho phép một kẻ xấu có thể chiếm quyền điều khiển iPhone của người khác bằng cách gửi cho họ một tin nhắn văn bản hoặc một bức ảnh cụ thể. BlastDoor hoạt động bằng cách lọc ra mã xấu gửi đến.
Với mức độ nghiêm trọng của lỗ hổng, người dùng nên cập nhật iOS 14.8, macOS Big Sur 11.6 và watchOS 7.6.2 ngay lập tức cho các thiết bị của mình. Sau khi công bố bản vá, Apple gửi lời cảm ơn đến Citizen Lab vì đã “hoàn thành công việc rất khó khăn khi tái lập mẫu xâm nhập này”.
Citizen Lab phát hiện ra các tập tin độc hại trong khi phân tích lại bản sao lưu từ điện thoại bị tấn công của một nhà hoạt động chính trị. Chúng trông giống file GIF được gửi đính kèm SMS, nhưng thực tế là PSD và PDF. Nghi ngờ có thể liên quan đến Pegasus, họ đã gửi cho Apple vào ngày 7/9. Đến 13/9, Táo khuyết tung ra bản cập nhật khẩn cấp.
Ngoài ra, loạt bản vá vừa phát hành cũng sửa lỗi liên quan đến WebKit cho iOS và macOS Big Sur. Chưa rõ có liên quan đến Pegasus không, lỗi này do “một nhà nghiên cứu ẩn danh” tìm thấy thay vì Citizen Lab. Theo The Verge, nó nằm trong một phần khác của hệ thống. Tuy nhiên, Apple xác định lỗ hổng có thể đã bị tin tặc khai thác.
Người dùng iPhone có thể kiểm tra và cập nhật iOS 14.8 bằng cách truy cập vào mục Cài đặt > Cài đặt chung > Cập nhật phần mềm, sau đó chọn Tải về và cài đặt.
Theo The Verge, Apple vừa phát hành bản cập nhật mới cho iOS, macOS và watchOS để sửa một lỗi bảo mật nghiêm trọng, có thể bị lợi dụng cài đặt phần mềm gián điệp, được các nhà nghiên cứu bảo mật tại Citizen Lab cảnh báo từ tháng 8.
Theo đó, lỗ hổng cho phép cài đặt theo kiểu “zero-click”, có nghĩa là mục tiêu không làm bất cứ điều gì vẫn bị lây nhiễm phần mềm gián điệp Pegasus. Công cụ này có khả năng đánh cắp dữ liệu, mật khẩu, tự động kích hoạt micro hoặc camera của điện thoại.
Người dùng cần cập nhật iPhone ngay để vá lỗi bảo mật nguy hiểm. Ảnh: 9to5mac.
Được biết, BlastDoor là hệ thống được Apple triển khai vào tháng 1.2021 để tăng lớp phòng thủ cho Messages với phần còn lại của iOS. Tin nhắn theo truyền thống là liên kết yếu nhất trong bảo mật của các thiết bị iOS, cho phép một kẻ xấu có thể chiếm quyền điều khiển iPhone của người khác bằng cách gửi cho họ một tin nhắn văn bản hoặc một bức ảnh cụ thể. BlastDoor hoạt động bằng cách lọc ra mã xấu gửi đến.
Với mức độ nghiêm trọng của lỗ hổng, người dùng nên cập nhật iOS 14.8, macOS Big Sur 11.6 và watchOS 7.6.2 ngay lập tức cho các thiết bị của mình. Sau khi công bố bản vá, Apple gửi lời cảm ơn đến Citizen Lab vì đã “hoàn thành công việc rất khó khăn khi tái lập mẫu xâm nhập này”.
Citizen Lab phát hiện ra các tập tin độc hại trong khi phân tích lại bản sao lưu từ điện thoại bị tấn công của một nhà hoạt động chính trị. Chúng trông giống file GIF được gửi đính kèm SMS, nhưng thực tế là PSD và PDF. Nghi ngờ có thể liên quan đến Pegasus, họ đã gửi cho Apple vào ngày 7/9. Đến 13/9, Táo khuyết tung ra bản cập nhật khẩn cấp.
Ngoài ra, loạt bản vá vừa phát hành cũng sửa lỗi liên quan đến WebKit cho iOS và macOS Big Sur. Chưa rõ có liên quan đến Pegasus không, lỗi này do “một nhà nghiên cứu ẩn danh” tìm thấy thay vì Citizen Lab. Theo The Verge, nó nằm trong một phần khác của hệ thống. Tuy nhiên, Apple xác định lỗ hổng có thể đã bị tin tặc khai thác.
Người dùng iPhone có thể kiểm tra và cập nhật iOS 14.8 bằng cách truy cập vào mục Cài đặt > Cài đặt chung > Cập nhật phần mềm, sau đó chọn Tải về và cài đặt.
Ngọc Linh (tổng hợp)
