Campanha de ataques zero-click mira iOS e Android com falhas já corrigidas

Uma campanha de ataques recém-descoberta está mirando dispositivos iOS e Android com uma tática que dispensa o clique da vítima. Usando vulnerabilidades que já tinham correção disponível antes do início da operação, os criminosos conseguiram montar cadeias de exploração capazes de comprometer o aparelho sem que o dono precise fazer nada.

O alvo são os chamados ataques zero-click, e a novidade não está nas falhas em si, todas já haviam recebido patches de segurança, mas na forma como um kit de exploração conhecido como DarkSword as encadeou para tornar o ataque viável e barato.O termo zero-click, que dá nome a essa categoria de ameaça, é o que torna o perigo tão difícil de evitar.

Exploit kits transformam falhas antigas em ameaça real

O que chama a atenção dos pesquisadores é que nenhuma das vulnerabilidades usadas na campanha era desconhecida (as temidas zero-days). Todas já tinham correção. O problema, segundo Adam Boynton, Enterprise Strategy Manager da Jamf, é que os exploit kits comerciais estão ficando bons demais em juntar os pontos.

“O que é interessante sobre esta campanha é que todas as vulnerabilidades nas cadeias de exploração que os pesquisadores identificaram já haviam sido corrigidas antes do início dela”, afirmou Boynton. “Nada aqui precisou de uma zero-day. A verdadeira mudança é que os kits de exploração empacotados agora fazem o trabalho pesado de encadear várias falhas conhecidas, o que barateia transformar bugs antigos em um ataque funcional.”

O executivo também apontou que a inteligência artificial pode acelerar essa tendência, tornando as cadeias de exploração mais fáceis de montar e adaptar, embora não haja indícios de que a IA tenha sido usada nesta campanha específica.

Por que manter o sistema atualizado virou questão de segurança

Diante de um cenário em que vulnerabilidades antigas voltam à cena com força total, a recomendação de Boynton é direta: não adie atualizações de segurança. No caso desta campanha, o navegador Chrome no Android estava entre os alvos, o que mostra que aplicativos também entram na mira.

“As organizações precisam saber quais versões de sistema operacional e de aplicativos estão rodando em seus dispositivos”, disse Boynton. “Quando uma atualização crítica de segurança está disponível, não há boa razão para atrasá-la. Em dispositivos gerenciados, as atualizações podem ser aplicadas automaticamente com pouco ou nenhum esforço do usuário.”

Para quem usa o próprio celular, a recomendação é a mesma: manter o sistema e os apps sempre na versão mais recente. Em ambientes corporativos, dá para criar fluxos que bloqueiam o acesso a dados da empresa em qualquer dispositivo que esteja abaixo de uma versão mínima do sistema.

📲 Essa história mostra como um bug antigo pode virar dor de cabeça nova. Para não perder nenhum alerta de segurança, entra no Canal do TS no WhatsApp.

A campanha reforça um movimento que especialistas vêm observando: o custo de montar um ataque caiu, e o que antes exigia uma falha inédita hoje pode ser feito com vulnerabilidades já conhecidas, desde que alguém saiba encadeá-las. Para o usuário comum, a lição é a mesma de sempre, mas com urgência renovada: atualizar não é opcional.

Fonte: Apple World Today