Signal, l’app di messaggistica crittografata, ha risposto alle “relazioni virali” riguardanti una presunta vulnerabilità zero-day nel suo software, dichiarando di non aver trovato prove a sostegno di tale affermazione.
Dettagli sulla presunta vulnerabilità
Dopo un’indagine responsabile, Signal ha dichiarato di non avere prove che suggeriscano che questa vulnerabilità sia reale. Inoltre, non sono state condivise ulteriori informazioni attraverso i suoi canali ufficiali di segnalazione. L’app ha anche confermato di aver controllato con il governo degli Stati Uniti e di non aver trovato informazioni che suggeriscano che si tratti di una rivendicazione valida. Signal invita chiunque abbia informazioni legittime a inviare segnalazioni all’indirizzo security@signal[.]org.
Durante il fine settimana, sono circolate voci su un exploit zero-day in Signal che potrebbe essere sfruttato per ottenere accesso completo a un dispositivo mobile bersaglio. Come precauzione di sicurezza, è stato consigliato di disattivare l’anteprima dei link nell’app. Questa funzione può essere disabilitata andando in Impostazioni Signal > Chat > Genera anteprime dei link.
Contesto sulle vulnerabilità zero-day
TechCrunch ha rivelato che gli zero-day per infiltrarsi nelle app di messaggistica come WhatsApp vengono venduti per cifre comprese tra 1,7 e 8 milioni di dollari. Le vulnerabilità zero-day in iMessage, Signal e WhatsApp sono lucrose per gli attori delle minacce degli stati-nazione, poiché possono essere utilizzate come punti di ingresso per eseguire codice remoto sui dispositivi mobili e sorvegliare furtivamente obiettivi di interesse attraverso catene di exploit con un clic o senza clic.
Un recente rapporto di Amnesty International ha scoperto che sono stati tentati attacchi di spyware contro giornalisti, politici e accademici nell’Unione Europea, negli Stati Uniti e in Asia con l’obiettivo finale di distribuire Predator, sviluppato da un consorzio noto come alleanza Intellexa. Tra febbraio e giugno 2023, piattaforme di social media come X (precedentemente Twitter) e Facebook sono state utilizzate per prendere di mira almeno 50 account appartenenti a 27 individui e 23 istituzioni, collegandoli a un cliente con collegamenti al Vietnam.