کسپرسکی، شرکت مشهور امنیت سایبری روسی، در سال ۲۰۲۳ بعد از کشف چهار صدمه‌پذیری روز صفر در iOS به سرتیتر خبرها رفت. کسپرسکی این صدمه‌پذیری‌ها را شناسایی کرد و آن‌ها را به اپل نیز گزارش داد. بااین‌حال، اکنون اشکار شده که کوپرتینویی‌ها از پرداخت پاداش به این شرکت خودداری کرده‌اند.

«دیمیتری گالوف» (Dmitry Galov)، رئیس مرکز تحقیقات کسپرسکی، به شبکه خبری روسی RTVI حرف های است:

«ما صدمه‌پذیری‌های روز صفر و بدون کلیک را یافتیم، همه اطلاعات را به اپل منتقل کردیم و کار مفیدی انجام دادیم. اساساً ما یک صدمه‌پذیری را به آن‌ها گزارش کردیم، که آن‌ها بابتش باید پاداش شکار باگ بپردازند.»

مطابق برنامه امنیتی اپل، پاداش کشف این چنین صدمه‌پذیری‌هایی می‌تواند تا ۱ میلیون دلار باشد. قابل دقت است که این چنین اطلاعات مهمی درمورد صدمه‌پذیری‌های روز صفر iOS می‌تواند با قیمت نزدیک به یک میلیون دلار در دارک وب به فروش برسد. به همین علت اعطای این چنین باگ بانتی‌هایی مهم است.

کشف باگ توسط کسپرسکی و خودداری اپل از پرداخت پاداش

دیمیتری گالوف حتی نظر داده است که کسپرسکی این پاداش را صرف امور خیریه خواهد کرد، اما اپل با استناد به سیاست‌های داخلی بدون هیچ توضیحی پرداخت آن را رد کرده. گفتنی است که برای شرکت‌های تحقیقاتی غیرمعمول نیست که هدایایی را از شرکت‌های بزرگ به خیریه اهدا کنند. برخی آن را عرصه‌ای برای گسترش تعهدات اخلاقی خود می‌دانند، که یقیناً به مثبت‌کردن نمود آن‌ها در جامعه امنیتی نیز پشتیبانی می‌کند.

در سال ۲۰۲۳، کسپرسکی یک عملیات سایبری و جاسوسی مشکوک زیاد پیچیده را در ده‌ها آیفون شناسایی و به طور واضح آن را آشکار کرد. این عملیات که تثلیث (Trigulation) نام داشت، یکی از پیچیده‌ترین حملات iOS بوده است.

هکرها در این عملیات می‌خواستند از چهار صدمه‌پذیری روز صفر منفعت گیری کنند که به طور زنجیره‌ای به یکدیگر متصل شده‌ بودند. اگر این عملیات انجام می‌گرفت، هکرها می‌توانستند با تشکیل یک بدافزار بدون کلیک گوشی کاربران بسیاری را آلوده کنند. این چنین کاربران نمی‌فهمیدند که گوشی آن‌ها آلوده شده و این بدافزار داده‌های حساس ازجمله داده‌های میکروفون، عکس‌ها و موقعیت جغرافیایی را به سرورهای هکرها منتقل می‌کرد.

کسپرسکی نه‌تنها این عملیات را کشف کرد، بلکه با مهندسی معکوس توانست صدمه‌پذیری را شناسایی کند. این شرکت صدمه‌پذیری مذکور را به اپل خبرداد و دیری نگذشت که این شرکت پچ‌های امنیتی اضطراری را انتشار کرد.