Apple отказалась выплатить "Лаборатории Касперского" $1 млн за найденную "дыру" в iPhone

Apple отказалась выплатить "Лаборатории Касперского" вознаграждение за обнаруженные в 2023 году уязвимости в iOS, которые позволяли злоумышленниками внедрить шпионский модуль на любой iPhone. Размер вознаграждения за информацию о такого рода уязвимостях, согласно программе Apple Security Bounty, может составлять до $1 млн, однако Apple отказалась перечислить их как в адрес "Лаборатории Касперского", так и на благотворительность, пишут СМИ.
"Мы нашли zero-day, zero-click уязвимости, передали всю информацию Apple, сделали полезное дело. По сути своей, мы зарепортили им уязвимость, за которую они должны заплатить bug bounty (награду за обнаруженную уязвимость — RTVI). Нам это вознаграждение не нужно, но есть практика такие выплаты от больших компаний передавать на благотворительность. Apple отказала нам в выплате, даже в пользу благотворительной организации, сославшись на внутреннюю политику, без объяснения. Учитывая, сколько информации мы им предоставили и насколько проактивно это сделали — непонятно, почему они приняли такое решение", — рассказал RTVI Дмитрий Галов, руководитель российского исследовательского центра "Лаборатории Касперского".
В начале июня 2023 года ФСБ заявила об обнаружении "разведывательной акции американских спецслужб, проведенной с использованием мобильных устройств фирмы Apple". Ведомство заявило, что заражению подверглись несколько тысяч iPhone как в России, так и за рубежом, в частности, аппараты сотрудников посольств и диппредставительств разных стран.
В тот же день "Лаборатория Касперского опубликовала большой отчет об обнаружении "самой изощренной кибератаки" на iOS, целью которой было незаметное внедрение шпионских модулей в iPhone. Злоумышленники, используя найденные "Лабораторией Касперского" уязвимости в iOS, могли заразить любой iPhone — его владельцу даже не требовалось ни на что нажимать. На iPhone пострадавших пользователей просто приходило сообщение iMessage со специальным вложением, содержащим эксплойт. Без какого-либо взаимодействия с пользователем, эксплойт из сообщения запускал выполнение вредоносного кода.
Эта кампания получила название "Операция Триангуляция" (Operation Triangulation), в "Лаборатории Касперского" заявили, что шпионские модули были обнаружены на iPhone сотрудников компании — как топ-менеджмента, так и руководителей среднего звена.
"Целью той атаки была шпионаж. Сбор любой информации с устройств: геолокация, камеры, микрофоны, файлы, контакты. В общем, все данные, которые только можно представить на устройстве. Это точно была не финансово мотивированная кибератака — злоумышленники не сжигают столько ресурсов, чтобы у пользователей банковские данные, например, "угнать". Мы уверены, что это была высокоуровневая таргетированная кибершпионская активность. Такого уровня разработки делятся либо на коммерческие, либо на state-sponsored (государственные — RTVI). Какое государство может быть в этом заинтересовано и может платить за это деньги — вопрос открытый. У нас нет технических данных, чтобы спекулировать на эту тему", — рассказал RTVI Галов.
Через пару недель после обнародования информации об этой кибератаке Apple признала наличие проблемы и выпустила обновления для исправления данных уязвимостей в iOS. В Apple сообщили, что уязвимости CVE-2023-32434 и CVE-2023-32435 представляли угрозу для всех версий iOS, выпущенных до iOS 15.7., и в описании к выпущенным патчам поименно упомянули четырех сотрудников "Лаборатории Касперского", обнаруживших уязвимости.
Согласно программе Apple Security Bounty, информация о которой есть на официальном сайте компании, вознаграждение от Apple за обнаружение такого рода уязвимостей может составлять до $1 млн.
"Лаборатория Касперского" не находится в санкционных списках США или ЕС, однако в марте 2022 года Федеральная комиссия по связи США внесла компанию в список юридических лиц, угрожающих национальной безопасности страны.
В "Лаборатории Касперского" рассказали RTVI, что после обнаружения данной кибератаки компания начала переводить работу всех сотрудников на мобильные устройства с ОС Android.
"После обнаружения шпионского модуля в iPhone сотрудников компании в прошлом году мы ["Лаборатория Касперского"] ушли с iOS. Всем сотрудникам компании сейчас планово, поэтапно выдают корпоративные мобильные устройства на Android. Мы ушли с iOS не потому что она менее безопасна, а потому что нам как security-вендору хочется иметь в своих руках больше контроля над безопасностью устройств. На iOS мы не можем поставить полноценный продукт, который будет сканировать активность, файлы, предоставлять информацию необходимую для incident response [реагирования на кибератаку]. Android, к тому же, предоставляет больший функционал для MDM [mobile device management]…В общем, если какая-то кибератака на сотрудников снова произойдет, то разбираться с ней на iOS будет сложно, как показала практика", — рассказал Дмитрий Галов.