著名なロシアのサイバーセキュリティ企業カスペルスキーは、昨年の同時期に、iOSのゼロデイ脆弱性4件を悪用してゼロクリックエクスプロイトを作成する攻撃チェーンを発見し、大きな話題となりました。カスペル​​スキーは脆弱性の1つを特定し、Appleに報告しました。しかし、残念ながら、Appleはカスペルスキーの貢献に対するセキュリティ報奨金の支払いを拒否したと報じられています。

9to5Mac Security Biteは、Apple統合プラットフォームであるMosyleが独占的に提供しています。Appleデバイスをすぐに使用でき、企業にとって安全なものにすることが私たちの使命です。管理とセキュリティに対する独自の統合アプローチは、完全に自動化された強化とコンプライアンス、次世代EDR、AI搭載ゼロトラスト、独自の権限管理のための最先端のApple固有のセキュリティソリューションと、市場で最も強力で最新のApple MDMを組み合わせています。その結果、完全に自動化されたApple統合プラットフォームが誕生しました。現在45,000を超える組織から信頼されており、何百万台ものAppleデバイスを手間をかけずに手頃な価格ですぐに使用できます。今すぐ延長トライアルをリクエストして、MosyleがAppleと連携するために必要なすべてである理由を確認してください。

Apple のような大手テクノロジー企業では、セキュリティ報奨金プログラムを利用して、脆弱性を悪用する可能性のある悪意のある行為者 (多くの場合は国家) に脆弱性を販売するのではなく、研究者やハッカーに脆弱性を見つけて報告するよう奨励するのが一般的です。

「ゼロデイ、ゼロクリックの脆弱性を発見し、すべての情報をAppleに提供し、有益な仕事をしました」と、カスペルスキー研究所ロシア研究センターの責任者、ドミトリー・ガロフ氏はロシアのニュースメディアRTVIに語った。「実質的には、Appleに脆弱性を報告しただけで、Appleはバグ発見の報奨金を支払わなければなりません。」

ガロフ氏はカスペルスキーに対し、報奨金を慈善団体に寄付するよう提案したが、Appleは社内規定を理由に、何の説明もなくこれを拒否した。調査会社が大企業から受け取った報奨金を慈善団体に寄付することは珍しくない。これを倫理的義務の延長と捉える人もいるが、セキュリティコミュニティにおける評判の向上に寄与していることは間違いない。

「我々がどれだけの情報を提供し、どれだけ積極的に行動したかを考えると、なぜ彼らがそのような決定を下したのかは不明だ」

2023年、カスペルスキーは自社ネットワーク上の数十台のiPhoneから異常を検知し、高度に洗練されたスパイ活動の疑いがあると公表しました。この攻撃は「オペレーション・トリグレーション」と名付けられ、iOSに対する史上最も高度な攻撃となりました。

この攻撃は、4つのゼロデイ脆弱性を連鎖的に利用し、ゼロクリックエクスプロイトを作成しました。これにより、攻撃者は権限を昇格し、侵入したiPhone上でリモートコードを実行できました。このマルウェアはマイクの録音、写真、位置情報などの機密データを攻撃者が管理するサーバーに送信するため、ユーザーはデバイスが感染していることに気付きません。

カスペルスキーはこのキャンペーンを発見しただけでなく、同社の研究所は攻撃チェーンにおける脆弱性の一つ（CVE-2023-38606として追跡）をリバースエンジニアリングしました。その結果、iOSオペレーティングシステムの中核を成すカーネルが、任意のコードの実行とユーザー権限の昇格に利用されていることが分かりました。Appleに通知され、同社は間もなく緊急セキュリティパッチをリリースし、この脆弱性を発見したカスペルスキーのチームに言及しました。

Appleのセキュリティバウンティプログラムによると、このような脆弱性を発見した場合の報奨金は最大100万ドルに達する可能性があります。報告されていないiOSのゼロデイ脆弱性は、ダークウェブの片隅で100万ドルをはるかに超える価格で売買される可能性があるため、この報奨金を維持することは非常に重要です。

おそらくその理由は

カスペルスキーは多国籍企業ですが、設立と本社はロシアにあります。米国はウクライナ戦争を受けてロシアに対し厳しい制裁を課しています。このため、米国企業とロシア企業間の金融取引は大幅に制限される可能性があります。

さらに、Apple セキュリティ報奨金の利用規約には、「米国の禁輸対象国にいる場合、または米国財務省の特別指定国民リスト、米国商務省の取引拒否者リストまたは事業体リスト、またはその他の制限対象者リストに載っている場合、Apple セキュリティ報奨金は支払われない可能性があります。」と記載されています。

Appleの手は縛られていると思いますが、コメント欄で皆さんのご意見をお聞かせください。状況全体が残念です。もしカスペルスキーが本当にこの件を支持するのであれば、この報奨金を寄付してほしかったですね。

Arinをフォロー: Twitter/X、LinkedIn、Threads

このシリーズの続き

• 受信トレイがマルウェアやスパムをブロックするのがいまだに下手な理由
• 削除された写真が再び現れるiOS 17.5のバグ
• 2024年現在までに最も多かったmacOSマルウェア
• Apple、プラットフォームセキュリティガイドを更新、App Storeセキュリティ、BlastDoorなどに関する初の詳細情報を追加
• Apple、プラットフォームセキュリティガイドを更新、App Storeセキュリティ、BlastDoorなどに関する初の詳細情報を追加
• AppleはAdloadマルウェアに対して宣戦布告したのか？

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。