H συγκεκριμένη επίθεση φαίνεται να διεξαγόταν μέσω ιστοσελίδων οι οποίες εισήγαγαν διακριτικά κακόβουλο λογισμικό για τη συλλογή επαφών, εικόνων και άλλων δεδομένων
Όπως αναφέρει το BBC, η συγκεκριμένη επίθεση φαίνεται να διεξαγόταν μέσω ιστοσελίδων οι οποίες εισήγαγαν διακριτικά κακόβουλο λογισμικό για τη συλλογή επαφών, εικόνων και άλλων δεδομένων.
Η ανάλυση της Google υποδεικνύει πως οι «παγιδευμένες» ιστοσελίδες φέρονται να δέχονταν χιλιάδες επισκέψεις ανά εβδομάδα. Η Apple δήλωσε στο BBC πως δεν επιθυμεί να προβεί σε σχόλια.
Εκτενής περιγραφή της επίθεσης έγινε σε μια σειρά αναρτήσεων τεχνικής φύσης από τον Βρετανό ειδικό κυβερνοασφαλείας Ίαν Μπιρ, μέλος του Project Zero- της ομάδας της Google για τον εντοπισμό νέων προβλημάτων ασφαλείας, γνωστών ως zero days.
«Δεν υπήρχε διάκριση μεταξύ στόχων» έγραψε ο Μπιρ. «Απλά η επίσκεψη στο χακαρισμένο site αρκούσε για να επιτεθεί ο εισβολέας στη συσκευή σας, και, αν ήταν επιτυχής, να εγκαταστήσει ένα monitoring implant». Ο Μπιρ και η ομάδα του είπαν πως ανακάλυψαν πως οι δράστες χρησιμοποιούσαν 12 ξεχωριστά προβλήματα ασφαλείας προκειμένου να παραβιάζουν συσκευές. Τα περισσότερα από αυτά ήταν ιοί bugs στο Safari, τον default web browser στα προϊόντα της Apple.
Όταν βρισκόταν σε ένα iPhone, το implant ήταν σε θέση να έχει πρόσβαση σε τεράστιο όγκο δεδομένων, περιλαμβανομένων επαφών, εικόνων και δεδομένων τοποθεσίας GPS. Τις πληροφορίες αυτές μετέδιδε σε εξωτερικό server κάθε 60 δευτερόλεπτα, σημείωσε ο Μπιρ. Επίσης, το implant ήταν σε θέση να συλλέγει δεδομένα από εφαρμογές που χρησιμοποιούσε ένα άτομο, όπως το Instagram, το WhatsApp και το Telegram. Στη λίστα των παραδειγμάτων που χρησιμοποίησε ο Μπιρ περιλαμβάνονταν προϊόντα της Google.
Οι δράστες ήταν σε θέση να παραβιάζουν «σχεδόν κάθε έκδοση από το iOS 10 μέχρι την πιο πρόσφατη έκδοση του iOS 12» σημείωσε ο Μπιρ. «Αυτό υποδεικνύει μια ομάδα που επιδιδόταν σε παρατεταμένη προσπάθεια χακαρίσματος των χρηστών iPhones σε συγκεκριμένες κοινότητες μέσα σε μια περίοδο τουλάχιστον δύο ετών».
Η ομάδα της Google ενημέρωσε την Apple για το θέμα την 1η Φεβρουαρίου, και κυκλοφόρησε patch έξι ημέρες αργότερα για να «σφραγίσει» τα κενά ασφαλείας.
