Hoe hackers probeerden in de telefoons van medewerkers van de Dalai Lama binnen te dringen

Hackers hebben geprobeerd om in te breken op de iPhones en Android-apparaten van verschillende Tibetanen, die onder andere werken voor het kantoor van de Dalai Lama, het Centraal-Tibetaans Bestuur en het Tibetaanse parlement. Dat staat in een nieuw rapport van Citizen Lab, een (fantastische) onderzoeksgroep die zich inzet voor digitale rechten.

De hackers gebruikten exploits en spyware, ontwikkeld voor de besturingssystemen iOS en Android, en probeerden ze met zorgvuldig ontworpen phishingberichten via WhatsApp te versturen. Ze deden zich voor als journalisten, werknemers van ngo’s en vrijwilligers van Tibetaanse mensenrechtenorganisaties.

De onderzoekers concluderen dat deze actie werd uitgevoerd door hetzelfde hackerscollectief dat eerder aanvallen deed op de Oeigoeren, een islamitische bevolkingsgroep in China. Daarvoor gebruikten de hackers meerdere exploits die destijds onbekend waren, onthulde Google.

“De vraag die vaak over dit soort gerichte aanvallen gesteld wordt, is wie achter de technologie zit die deze mensen helpt om op telefoons in te breken,” zegt Bill Marczak, die dit onderzoek leidde. “De enige opties leken lange tijd NSO Group en Pegasus te zijn, maar we zien nu een nieuwe speler op het veld die verbanden met China lijkt te hebben. Deze zijn alleen wat minder georganiseerd. Ze gebruiken redelijk verouderde exploits om mensen te pakken die hun telefoons te laat updaten, en ze proberen niet altijd om het volledige toestel uit te kleden.”

Citizen Lab bracht vijftien hackpogingen aan het licht. Hoewel sommige slachtoffers per ongeluk op de kwaadaardige link hadden geklikt, werd uiteindelijk niemand daadwerkelijk gehackt omdat ze allemaal hun telefoons geüpdatet hadden.

De operatie lijkt ook overeen te komen met een geval dat door Google Project Zero werd onthuld, waarbij meerdere zero-days voor iOS werden gebruikt; en een gemeld door beveiligingsbedrijf Volexity, waarbij Android-malware werd verspreid via verschillende websites.

“Omdat bij alledrie dezelfde iOS-exploits en soortgelijke iOS-spyware werden gebruikt, gaan we ervan uit dat ze allemaal door dezelfde operator of een aantal nauw samenwerkende operators zijn uitgevoerd,” schreef Citizen Lab in zijn rapport. “Deze incidenten laten zien dat er steeds meer interesse is om mobiele apparaten te hacken. Het is duidelijk waarom: deze apparaten zijn de plekken waarop onze online levens samenkomen, en waarmee de samenleving zich organiseert en mobiliseert. Een blik binnen een telefoon kan een blik geven in dit soort ontwikkelingen.”

Google wilde niet reageren op ons verzoek om commentaar. Een woordvoerder van Apple gaf een verklaring: “De gegevensbescherming van onze klanten is onze grootste prioriteit, en we hechten dan ook veel waarde aan onze samenwerking met beveiligingsonderzoekers als Citizen Lab. Het probleem met iOS dat in het rapport staat is inmiddels ontdekt en verholpen door het beveiligingsteam van Apple. We moedigen onze klanten altijd aan om de meest recente versie van iOS te downloaden, voor de beste en laatste beveiligingsverbeteringen.”