ScreenConnect-támadási lánc
A Citizen Lab vizsgálata és a szerb SHARE Foundation közös elemzése megerősítette, hogy a szerbiai kormányellenes diáktüntetések egyik résztvevőjének iPhone-ját az NSO Group Pegasus kémszoftverével fertőzték meg. Az áldozat egy Apple Threat Notification után fordult szakértőkhöz. A forenzikus nyomok alapján a fertőzés 2025 decembere és 2026 januárja között történt, egy iMessage-et célzó zero-click exploit segítségével, tehát az áldozatnak nem kellett linkre kattintania, fájlt megnyitnia vagy más műveletet végeznie. A Citizen Lab szerint a kihasznált sérülékenységet az Apple legkésőbb az iOS 18.4.1-ben javította.
A sikeres Pegasus-fertőzés gyakorlatilag teljes hozzáférést biztosít a telefonhoz, megszerezhetők a fényképek, jegyzetek és üzenetek – köztük a végpontok között titkosított alkalmazásokban tárolt adatok –, valamint észrevétlenül aktiválható a mikrofon és a kamera. Fontos, hogy ilyenkor nem a Signalhoz vagy más titkosított üzenetküldőhöz tartozó titkosítást törik fel, a támadó magát a végpontot kompromittálja, ahol az üzenetek már olvasható formában rendelkezésre állnak.
Az eset egy szélesebb szerbiai megfigyelési hullám része. A SHARE Foundation legalább 14 olyan személyt dokumentált a diákmozgalom, civil szervezetek és az ellenzék köréből – köztük egy parlamenti képviselőt –, akik Apple fenyegetési értesítést kaptak, további készülékek forenzikus vizsgálata még folyamatban van. Ezzel párhuzamosan egy diáknál a NoviSpy androidos kémszoftver új változatát is azonosították. A Citizen Lab ugyanakkor a Pegasus-eset technikai megerősítéséből nem nevezte meg a támadás konkrét megrendelőjét vagy végrehajtóját, ezért az attribúciót nem érdemes bizonyított tényként kezelni.
A magas kockázatú felhasználóknál a Citizen Lab az iOS folyamatos frissítése mellett az Apple Lockdown Mode használatát javasolja. Az Apple Threat Notificationt pedig nem egyszerű figyelmeztetésként, hanem olyan erős jelzésként kezeli, amely után az érintett készülék szakértői forenzikus vizsgálata indokolt.
