iOS
Надежная и безопасная мобильная связь нужна в любой современной организации, будь то бизнес или государственная структура. По большому счету, на данный момент выбор невелик: смартфон на платформе Android или Apple iPhone. На первый взгляд кажется, что iPhone значительно безопаснее: ограничение функциональности сторонних программ, единственный жестко контролируемый маркетплейс, на порядок меньше зловредов… Но давайте все-таки погрузимся в тему поглубже и посмотрим, так ли это на самом деле?
Так ли безопасна iOS?
Новости о том, что телефоны Apple можно заразить зловредом, с завидной периодичностью всплывают уже несколько лет: речь идет о так называемом «легальном ПО для наблюдения» Pegasus. Списки его жертв состояли преимущественно из активистов, политиков, журналистов. Поэтому к данной угрозе было принято относиться как к городской легенде — чему-то опасному, но столь редкому, что шансов встретиться с ним в реальности крайне мало (если, конечно, не искать специально). Но тут атакующие постучались непосредственно к нам: в июне этого года мы рассказали об атаке на менеджмент «Лаборатории Касперского» при помощи зловреда Triangulation (кстати, на ближайшей конференции Security Analyst Summit мы планируем представить подробный анализ этой атаки, если вам интересно — присоединяйтесь).
То есть произошла атака на коммерческую компанию, в которой iPhone использовался как стандартное средство рабочей связи. После тщательного расследования и публикации утилиты triangle_check для автоматического поиска следов заражения мы создали почтовый ящик, на который могли бы написать жертвы аналогичной атаки. И на него пришли письма от других пользователей смартфонов Apple, утверждавших что они также обнаружили признаки заражения своих устройств. Поверьте, нам уже не кажется, что целевая атака на iPhone — редкое явление.
Иллюзия безопасности
Как ни парадоксально это звучит, но регулярно повторяемые утверждения о том, что iOS заведомо безопаснее Android, делают ситуацию еще более опасной. Публичное отрицание угрозы приводит к тому, что люди перестают смотреть на проблему трезвым взглядом. Им кажется: «Ну да, кого-то заразили, но меня-то, скорее всего, нет».
Даже ряд наших коллег (людей, мягко говоря, не чуждых идеям информационной безопасности) не мог поверить в реальность заражения их устройства этой самой «Триангуляцией». Уже после публикации новостей об угрозе некоторых приходилось прямо убеждать проверить свой iPhone на следы присутствия зловреда, и они искренне удивлялись, узнав, что стали целями атаки.
Вообще мысль «меня-то зачем взламывать?» популярна, но опасна. На самом деле для этого может быть множество причин. Чтобы ваш телефон взломали, совершенно не обязательно быть интересной целью. Достаточно быть членом семьи бизнесмена или госслужащего. Достаточно иногда присутствовать на совещаниях или просто физически находиться рядом с настоящей целью атаки. А потом можно с удивлением узнать, что это именно вас назначили «крайним», потому что через ваш аппарат утекла важная деловая информация.
Настоящая проблема
Если внимательно присмотреться к рынку уязвимостей (неважно, идет ли речь о черном рынке в даркнете или о серых площадках вроде Zerodium), то станет понятно, что сейчас стоимость эксплойтов под iOS и Android примерно одинакова. А это показывает, как рынок атакующих оценивает уровень защищенности систем. Некоторые эксплойты под Android продаются даже дороже, чем под iOS. В любом случае, атаковать будут обе системы.
Настоящая разница состоит в доступности средств, которые можно противопоставить атакам. Если злоумышленники используют очередную уязвимость нулевого дня и все-таки обойдут хваленые защитные механизмы Apple, то сделать с этим вы ничего не сможете. Скорее всего, вы просто не поймете, что это случилось. Из-за системных ограничений даже суперпрофессионалам будет сложно хотя бы исследовать эту атаку и понять, чего, собственно, хотели атакующие. А смартфон на базе Android можно снабдить полноценным защитным решением — не только антивирусом, но и продуктом класса MDM (mobile device management), позволяющим удаленно управлять корпоративным устройством и мониторить происходящее на нем.
Если приглядеться, то общеизвестные «преимущества» платформы iOS в случае атаки оборачиваются недостатками. Ее закрытость, которая не дает безопасникам разобраться в проблемах, играет только на руку атакующим. Да, инженеры Apple создали неплохую защиту от дурака — пользователь не может, грубо говоря, пойти на сомнительный сайт и скачать APK с трояном. Но когда iPhone все-таки взломают (а как показывает практика, современным продвинутым атакующим это вполне по силам), то остается надеяться лишь на то, что компания Apple сама сможет спасти вас от новой угрозы. Если, конечно, вовремя выявит ее.
Масштаб угрозы
Аргумент, что все реальные зловреды на iOS были частью целевых атак, также сложно считать успокаивающим. По общепринятому мнению, за разработкой эксплойта EternalBlue когда-то стояли государственные организации и предназначался он для очень узкого применения. А потом из-за его публикации в открытом доступе группировкой Shadow Brokers он попал в руки злоумышленников, и на его базе была проведена чуть ли не самая масштабная атака шифровальщика-вымогателя WannaCry.
Даже защищенность маркетплейса уже нельзя считать непогрешимой. Недавно наши коллеги нашли в Apple App Store несколько мошеннических приложений, которые при определенных условиях начинали выманивать у пользователя персональные данные. Да, пока это сложно считать серьезной угрозой, но это прецедент — приложение с вредоносной нагрузкой смогло обойти жесткие критерии контроля Apple и было опубликовано на официальном маркетплейсе.
И что делать?
Мы выучили урок «Триангуляции» и, как и многие другие частные компании и государственные ведомства, постепенно отказываемся от использования iPhone для рабочих нужд. Пока что в качестве альтернативы используем Android, снабженный нашим MDM-решением, в эффективности которого мы уверены. Это не значит, что мы считаем, будто его сложнее атаковать. Просто его проще защитить, и уж точно на нем легче обнаружить признаки атаки.
Это не перманентное решение — любая надстройка над операционной системой не идеальна. Защитное решение действует по принципу приобретенного иммунитета: оно способно защитить от угроз, подобных тем, с которыми мы уже встречались. По-хорошему, нам всем нужен мобильный телефон с врожденным иммунитетом, на котором выполнение посторонних действий в принципе невозможно. Пока такого телефона нет, но мы над этим активно работаем.
