Apple weigerte sich, Kaspersky ein Kopfgeld für die Offenlegung einer „Triangulations“-Schwachstelle zu zahlen.

Kaspersky, das beliebte russische Cybersicherheitsunternehmen, sorgte letztes Jahr um diese Zeit für Schlagzeilen, nachdem es eine Angriffskette aufgedeckt hatte, die vier iOS-Schwachstellen ausnutzte, um einen Zero-Click-Exploit zu erstellen. Kaspersky konnte eine der Schwachstellen identifizieren und an Apple melden. Allerdings weigert sich Apple Berichten zufolge in einem seltsamen Update, einen Treuhandbonus für den Beitrag des Unternehmens zu zahlen.

9to5Mac Security Bite wird Ihnen exklusiv zur Verfügung gestellt von Mosyle, Apples einzige einheitliche Plattform. Wir machen Apple-Geräte betriebsbereit und sicher für Unternehmen. Unser einzigartig integrierter Verwaltungs- und Sicherheitsansatz kombiniert die neuesten Sicherheitslösungen von Apple für vollautomatische Härtung und Compliance, EDR der nächsten Generation, KI-gestütztes Zero Trust und exklusive Privilegienverwaltung mit dem leistungsstärksten und fortschrittlichsten Apple MDM auf dem Markt. Das Ergebnis ist eine einheitliche, vollautomatische Apple-Plattform, der mittlerweile mehr als 45.000 Unternehmen vertrauen, um Millionen von Apple-Geräten mühelos und kostengünstig betriebsbereit zu machen. Bestellen Sie Ihr erweitertes Erlebnis Erfahren Sie noch heute, warum Mosyle alles bietet, was Sie für die Zusammenarbeit mit Apple benötigen.

Es ist üblich, dass große Technologieunternehmen wie Apple Sicherheitsprämienprogramme einsetzen, um Forscher und ethische Hacker zu ermutigen, Schwachstellen zu finden und zu melden, anstatt sie an böswillige Akteure, häufig Nationalstaaten, zu verkaufen, die sie möglicherweise ausnutzen.

„Wir haben Zero-Day-Sicherheitslücken gefunden, alle Informationen an Apple übertragen und nützliche Arbeit geleistet“, sagte Dmitry Galov, Leiter des russischen Forschungszentrums bei Kaspersky Lab. Russische Nachrichtenagentur RTVI. „Im Grunde sagten wir ihnen, dass es eine Sicherheitslücke gäbe, und sie müssten dafür ein Kopfgeld zahlen.“

Galuf schlug Kaspersky sogar vor, die Belohnung für wohltätige Zwecke zu spenden, doch Apple lehnte ab und verwies ohne Begründung auf interne Richtlinien. Es ist nicht ungewöhnlich, dass Forschungsunternehmen Bonuszahlungen großer Unternehmen für wohltätige Zwecke spenden. Manche betrachten dies als eine Erweiterung ihrer moralischen Verpflichtung, aber es trägt zweifellos dazu bei, einen positiven Ruf innerhalb der Sicherheitsgemeinschaft aufzubauen.

„Angesichts der Menge an Informationen, die wir ihnen zur Verfügung gestellt haben, und wie proaktiv wir dabei vorgegangen sind, ist unklar, warum sie eine solche Entscheidung treffen würden.“

Im Jahr 2023, Kaspersky Es wurde öffentlich bekannt gegeben Der Verdacht einer Spionagekampagne war hoch, als sie Anomalien bei Dutzenden iPhones in ihrem Netzwerk entdeckte. Unter dem Namen „Operation Trigulation“ würde es sich zum ausgefeiltesten iOS-Angriff aller Zeiten entwickeln.

Der Angriff nutzte eine Reihe von vier miteinander verketteten Zero-Day-Schwachstellen aus, um einen Zero-Click-Exploit zu erstellen. Es ermöglichte Angreifern, Berechtigungen zu erhöhen und Code aus der Ferne auf kompromittierten iPhones auszuführen. Benutzer werden keine Ahnung haben, dass ihre Geräte infiziert wurden, da die Malware vertrauliche Daten, einschließlich Mikrofonaufzeichnungen, Fotos und Geolokalisierung, an vom Angreifer kontrollierte Server überträgt.

Kaspersky hat nicht nur die Kampagne offengelegt, sondern sein Forschungslabor hat auch eine der Schwachstellen in der Angriffskette nachentwickelt, die als verfolgt wurde CVE-2023-38606. Sie fanden heraus, dass der Kernel im Herzen von iOS dazu dient, beliebigen Code auszuführen und Benutzerrechte zu erhöhen. Apple wurde benachrichtigt und es dauerte nicht lange, bis das Unternehmen Notfall-Sicherheitspatches veröffentlichte und sich dabei auf das Kaspersky-Team berief, das hinter der Entdeckung des Fehlers stand.

Laut Apple SicherheitsbonusprogrammDie Belohnung für die Entdeckung solcher Schwachstellen kann bis zu 1 Million US-Dollar betragen. Es ist wichtig, diese Prämie beizubehalten, da nicht gemeldete Zero Days für iOS in den Ecken des Dark Web für über 1 Million US-Dollar verkauft werden können.

Möglicher Grund dafür

Obwohl Kaspersky ein multinationales Unternehmen ist, wurde es in Russland gegründet und hat dort seinen Hauptsitz, einem Land, gegen das die Vereinigten Staaten wegen des Krieges in der Ukraine schwere Sanktionen verhängt haben. Dies könnte Finanztransaktionen zwischen US-amerikanischen Unternehmen und denen in der Region stark einschränken.

Darüber hinaus laut Apple Security Bounty Geschäftsbedingungen„Apple Security Bounty Awards werden möglicherweise nicht an Sie ausgezahlt, wenn Sie sich in einem der Länder befinden, gegen die die Vereinigten Staaten ein Embargo verhängt haben oder die auf der Liste der Specially Designated Nationals des US-Finanzministeriums, der Denied Persons or Entity List des US-Handelsministeriums oder einem anderen Land aufgeführt sind.“ eingeschränkte Parteilisten.“

Ich denke, Apple sind hier die Hände gebunden, aber ich würde gerne Ihre Meinung in den Kommentaren hören. Die ganze Situation ist bedauerlich. Ich hätte diese finanzielle Belohnung gerne gespendet, wenn Kaspersky dies tatsächlich unterstützen würde.

Folgen Sie Arin: Twitter/X, LinkedIn, Themen

Mehr in dieser Serie