Co je útok nulovým kliknutím a proč je tak nebezpečný?

Jako uživatelům internetu nám vždy říkáme, abychom byli při klikání na odkazy a přílohy e-mailů velmi ostražití a dodržovali osvědčené bezpečnostní postupy. I když tato rada platí pro většinu kybernetických útoků, bohužel nás nemůže ochránit před nelítostným útokem zero-click.

Útoky s nulovým kliknutím infiltrují zařízení a systémy bez varování nebo aspektu lidské interakce, takže je extrémně těžké je odhalit a bránit se proti nim.

Je ale útok zero-click stejný jako útok zero-day? A v čem je výrazně nebezpečnější než mainstreamové útoky? Čtěte dále a dozvíte se to.

Co je útok s nulovým kliknutím?

Ne všechny kybernetické útoky jsou stejné nebo vyžadují, aby se rozšířily chyby uživatele. Jak název napovídá, útok s nulovým kliknutím probíhá s „nulovým“ kliknutím myši, stisknutím kláves nebo interakcemi uživatele.

Hackeři tyto útoky směřují především ke zneužívání zranitelností, které již existují v softwaru nebo aplikaci pro zasílání zpráv. Někdy hackeři prodávají tyto zranitelnosti na černém trhu nebo společnosti nabídnou štědré odměny těm, kteří je najdou.

Útoky s nulovým kliknutím jsou osobním favoritem útočníků, protože žádné nevyžadují sociální inženýrství taktiky, jak přesvědčit oběti, aby klikaly na škodlivé odkazy nebo přílohy. Nevyžadují také žádnou interakci uživatele s oběťmi, takže sledování útočníků je extrémně obtížné.

Jak funguje útok s nulovým kliknutím?

Útoky s nulovým kliknutím se většinou zaměřují na aplikace, které poskytují funkce pro zasílání zpráv nebo hlasové volání, jako je WhatsApp nebo iMessage, protože tyto služby přijímají a analyzují data z neznámých zdrojů.

Hackeři speciálně vytvářejí část dat, jako je skrytá textová zpráva, e-mail, hlasová schránka nebo soubor s obrázkem a doručit jej do cílového zařízení prostřednictvím bezdrátového připojení pomocí Wi-Fi, NFC, Bluetooth, GSM nebo LTE. Toto doručení dat pak vyvolává neznámou zranitelnost na úrovni hardwaru nebo softwaru.

Útoky s nulovým kliknutím jsou známé tím, že se zaměřují na iPhony a iPady a tato zranitelnost existuje od září 2012, kdy Apple poprvé vydal iPhone 5 s iOS 6.

Co dělá útok nulovým kliknutím tak nebezpečným?

Útoky s nulovým kliknutím jsou vysoce sofistikované. Pokročilí a dobře financovaní hackeři je vyvíjejí tak, aby po nich nezůstaly žádné stopy, čímž jsou o to nebezpečnější. E-mailový útok typu zero-click může například zkopírovat celou doručenou poštu, než se sám smaže.

Netřeba dodávat, že útok zero-click posouvá bezpečnostní hrozby na zcela novou úroveň. Zde je několik důvodů, proč jsou útoky zero-click mnohem smrtelnější než běžné kybernetické útoky:

• Útoky s nulovým kliknutím nevyžadují, aby oběť klikla na odkaz, stáhla si přílohu nebo narazila na webovou stránku s malwarem. Vzhledem k tomu, že se vše odehrává v zákulisí, uživatelé si toho nejsou vůbec vědomi.
• Útočníci nemusí ztrácet čas nastavováním propracované pasti nebo návnady, aby nalákali oběti k provedení úkolu. To urychluje šíření útoku s nulovým kliknutím.
• Útoky s nulovým kliknutím instalují specificky cílené sledovací nástroje popř spyware na zařízení oběti odesláním zprávy do telefonu uživatele, která neprodukuje žádné upozornění. Uživatelé se ani nemusí dotknout svých telefonů, aby se infekce rozběhly.
• Tyto útoky se většinou zaměřují na osoby s mocí nebo znalostmi kybernetické bezpečnosti, protože je útočníci nemohou oklamat, aby klikli na škodlivé odkazy.
• Zero-click útoky po sobě nezanechávají žádné stopy resp indikátory kompromisu.
• Útoky s nulovým kliknutím využívají nejpokročilejší hackerské techniky, které mohou obejít jakékoli zabezpečení koncových bodů, antivirus nebo firewall.

Kromě výše uvedených důvodů se útokům zero-click velmi daří díky stále rostoucí spotřebě mobilních zařízení tím, že využijete pokrytí sítě, zranitelnost Wi-Fi a dostupnost cenných data.

Kromě toho, že jsou tyto útoky klamné, rychle se rozšiřují s rostoucím využíváním technologií.

Jsou útoky Zero-Click a Zero-Day stejné?

Většina lidí se plete mezi útoky zero-click a zero-day. Zatímco „nula“ je zde společným jmenovatelem, oba útoky mají většinou různé konotace.

K útoku zero-day dojde, jakmile útočníci zneužijí zranitelnost softwaru nebo hardwaru a uvolní malware dříve, než má vývojář příležitost vytvořit záplatu, která by zranitelnost opravila.

Útok s nulovým kliknutím, jak jsme již probrali, vyžaduje nulová kliknutí nebo interakce. Mezi oběma typy útoků však stále existuje korelace, protože někdy útoky zero-click využívají k provedení svého útoku nejhlubší a nejvíce podtržené chyby zero-day.

Zjednodušeně řečeno, protože vývojáři dosud nehlásili žádné chyby zero-day, útoky zero-click využívají tohoto aspektu, a provádějí tak exploity, které bude těžké odhalit nebo prozkoumat.

Příbuzný: Co je to Zero-Day Exploit a jak fungují útoky?

Je spyware Pegasus útokem s nulovým kliknutím?

V září 2021 společnost The Citizen Lab se sídlem v Torontu oznámila objev útoku zero-click, který umožnilo hackerům instalovat malware Pegasus na zařízení obětí, včetně iPhonů, iPadů, MacBooků a Apple hodinky.

Tento nejnovější případ malwaru Pegasus zero-click byl objeven ve službě iMessage společnosti Apple.

Útočníci přenášejí malware Pegasus pomocí škodlivého PDF, které automaticky spouští kód převádějící infikovaná zařízení do naslouchacího zařízení. Naštěstí Apple od té doby vyvinul opravu této chyby zabezpečení prostřednictvím iOS 14.8/iPadOS 14.8 pro iPhony a iPady a watchOS 7.6.2 pro Apple Watch Series 3 a novější.

Příbuzný: Je můj iPhone infikován spywarem Pegasus?

Tipy, jak se chránit před útoky bez kliknutí

Bohužel kvůli neviditelnosti útoků zero-click je zcela nemožné se proti nim chránit. Dobrou zprávou však je, že tyto typy útoků se většinou zaměřují na vysoce postavené osobnosti z politické špionáže nebo finančních důvodů.

I když nemůžete zmírnit útoky zero-click, následující tipy mohou pomoci minimalizovat riziko:

• Vždy udržujte svá zařízení, aplikace a prohlížeče aktuální.
• Identifikátory, jako je zahřívání telefonu, nenačítání obrazovky nebo odpojování hovorů, mohou někdy souviset s útoky typu zero-click. Dávejte si tedy pozor na takové nevyzpytatelné chování.
• Investujte do robustních nástrojů proti spywaru a malwaru.
• Při připojování k internetu na veřejných nebo neznámých místech vždy používejte VPN.
• Organizacím může najmutí externích odborníků na kybernetickou bezpečnost nebo lovců odměn za chyby pomoci odhalit mezery a slabá místa.
• Pokud jste výrobcem chytrých telefonů nebo vývojářem softwaru, měli byste své produkty pečlivě otestovat na zranitelnosti, než je zpřístupníte veřejnosti.
• Vyhněte se jailbreaku zařízení. Kromě toho, že jde o riskantní postup, může také zvýšit zranitelnost zařízení vůči vzdáleným útokům kvůli instalaci aplikací, které nejsou v obecném obchodě s aplikacemi nebo v obchodě Play.
• Při instalaci nové aplikace si pečlivě přečtěte drobné písmo a prozkoumejte oprávnění, která vyžaduje.

Skutečnost, že útoky zero-click nevyžadují žádnou lidskou interakci, by vás neměla odradit od toho, abyste se snažili co nejlépe zmírnit rizika. Jako uživatel byste měli udělat vše, co je ve vašich silách, abyste zajistili, že hackeři nemohou vaše zařízení snadno zneužít.

Mějte náskok před útoky bez kliknutí pomocí aktualizací softwaru

I když neexistuje žádná záruka ochrany před útoky typu zero-click, nejúčinnějším způsobem, jak omezit riziko, je udržovat vše aktuální.

Většina softwarových společností provádí recenze kódu mezi vývojáři, které provádějí, aby minimalizovali zranitelnosti svých produktů před vydáním. Vývojáři nakonec opraví exploity zero-click v novějších verzích a vydáních.

V boji proti útokům typu zero-click je jediným způsobem, jak zvítězit, držet krok s nejnovějšími aktualizacemi pro vývojáře.

Jak aktualizovat váš iPhone: iOS, aplikace a zálohy dat

Zajímá vás, jak aktualizovat vše na vašem iPhone? Ukážeme vám, jak aktualizovat iOS, co dělat předem a jak aktualizovat aplikace pro iPhone.

Přečtěte si další

O autorovi