Sommario
Apple ha recentemente rifiutato di pagare una ricompensa a Kaspersky per aver scoperto una vulnerabilità zero-day utilizzata in una campagna di spionaggio altamente sofisticata conosciuta come “Operation Triangulation”. Nonostante Kaspersky abbia identificato e segnalato una delle vulnerabilità a Apple, quest’ultima ha declinato il pagamento, sollevando questioni sulle sue politiche interne e sulle relazioni con la società russa di cybersecurity.
Dettagli della Scoperta
Operazion Triangulation
Nel 2023, Kaspersky ha scoperto un attacco a catena utilizzando quattro vulnerabilità zero-day su iOS per creare un exploit zero-click. Questo attacco consentiva agli aggressori di elevare i privilegi e eseguire codice remoto sugli iPhone compromessi senza che gli utenti ne fossero a conoscenza. Il malware trasmetteva dati sensibili, inclusi registrazioni audio, foto e geolocalizzazioni, ai server controllati dagli aggressori.
La vulnerabilità Segnalata
Kaspersky ha segnalato una delle vulnerabilità, tracciata come CVE-2023-38606, a Apple. Questa vulnerabilità consentiva l’esecuzione di codice arbitrario e l’elevazione dei privilegi attraverso il kernel di iOS. Apple ha successivamente rilasciato patch di sicurezza di emergenza per correggere il problema, riconoscendo il contributo di Kaspersky nella scoperta.
La ricompensa mancata
Programma di Ricompensa per la Sicurezza di Apple
Secondo il Programma di Ricompensa per la Sicurezza di Apple, la scoperta di tali vulnerabilità può valere fino a 1 milione di dollari, ma tuttavia l’azienda ha rifiutato di pagare la ricompensa a Kaspersky, citando politiche interne senza fornire ulteriori spiegazioni sul fatto specifico dell’operation triangulation. Dmitry Galov, capo del centro di ricerca russo di Kaspersky, ha dichiarato che avevano proposto di donare la ricompensa in beneficenza, ma Apple ha respinto l’offerta.
Possibili Motivazioni
Restrizioni e sanzioni internazionali
Una delle ragioni probabili per il rifiuto di Apple potrebbe essere legata alle sanzioni internazionali contro la Russia a causa della guerra in Ucraina. Le regole del programma di ricompensa di Apple vietano pagamenti a individui o entità in paesi soggetti a embargo dagli Stati Uniti o presenti in liste di parti restrittive del Dipartimento del Tesoro e del Dipartimento del Commercio degli Stati Uniti.
La situazione è particolarmente sfortunata poiché Kaspersky ha fornito un contributo significativo alla sicurezza degli utenti di iOS. Sebbene Apple abbia le mani legate da politiche e sanzioni internazionali, molti sperano che la ricompensa possa essere donata in beneficenza, come proposto da Kaspersky, per mantenere l’integrità e il rispetto all’interno della comunità di sicurezza informatica.