Peneliti Ungkap Cara Peretasan iPhone Paling Canggih: Pakai iMessage

Liputan6.com, Jakarta - Peneliti keamanan Kaspersky mengungkap cara peretasan iPhone paling canggih yang pernah dilakukan, yakni dengan memanfaatkan aplikasi iMessage. Pemberitaan tentang peretasan iPhone dengan iMessage ini merebak pada Juni 2023. 

Dilansir The Independent, Sabtu (30/12/2023), peretas menggunakan serangkaian peretasan rumit dan terperinci untuk membobol ponsel. Kemudian mereka memuatnya dengan perangkat lunak untuk memata-matai pengguna.

Laporan adanya serangan ini diungkapkan oleh Kaspersky dalam acara keamanan siber Chaos Communication Congress di Hamburg.

Serangan dimulai dengan eksploitasi yang mengandalkan iMessage. Mulanya, pengguna akan menerima lampiran berbahaya dalam pesan teks dan kemudian akan diproses oleh aplikasi tertentu tanpa diketahui oleh pengguna.

Peneliti juga mengungkapkan bahwa serangan ini mengeksploitasi empat bug keamanan. Salah satu di antaranya adalah “zero day”, yang berarti bahwa pengembang tidak menyadari eksploitasi tersebut. Parahnya, teknik peretasan ini terus terjadi, setidaknya hingga Apple merilis update iOS 16.2.

Berbagai bug telah diperbaiki dalam pembaruan keamanan, tetapi beberapa perangkat belum diperbarui ke software terbaru, sehingga kemungkinan masih berisiko.

Sementara itu, Apple telah berulang kali memperingatkan bahwa perangkatnya sedang terkena serangan yang semakin canggih. 

Bulan November 2023, kepala keamanan Apple telah memperingatkan bahwa perusahaan melihat adanya peningkatan dalam menangani peretas yang mencoba memasuki perangkat keras Apple.

“Saya pikir yang terjadi adalah semakin banyak peluang untuk menyerang. Dan hal ini sebagian disebabkan oleh penyebaran teknologi yang semakin luas. Semakin banyak teknologi yang digunakan dalam berbagai skenario,” kata Ivan Krstić kepada The Independent. 

Sebelumnya, Apple juga telah menggulirkan patch keamanan darurat untuk iOS 17 dan iPadOS 17. 

Pada 21 September 2023, Apple melakukan pembaruan iOS 17, iPadOS 17 dan WatchOS 10. Pembaruan ini menghadirkan perbaikan untuk mengatasi beberapa kerentanan zero-day berpotensi membuat perangkat rentan terhadap serangan berbahaya. 

Di halaman dukungan pembaruan iOS, iPadOS dan WatchOS, Apple mengungkapkan kerentanan mungkin telah dieksploitasi secara aktif pada versi sebelum iOS 16.7.

Mengutip dari Bleepingcomputer, Minggu (24/9/2023), Apple memperbaiki sebanyak 16 kerentanan zero-day di tahun ini. Dua bug ditemukan di mesin browser WebKit (CVE-2023-41993) dan kerangka keamanan (CVE-2023-41991).

Ini memungkinkan pelaku kejahata melewati validasi signature menggunakan aplikasi berbahaya atau mendapatkan eksekusi kode arbitrer melalui halaman web perusak.

Bug ketiga ditemukan di Kernel Framework (CVE-2023-41992), menyediakan API dan dukungan untuk ekstensi kernel dan driver perangkat di kernel. Penyerang dapat mengeksploitasi kelemahan ini untuk meningkatkan hak istimewa.

Apple memperbaiki tiga zero-day bug di macOS 12.7/13.6, iOS 16.7/17.0.1, iPadOS 16.7/17.0.1, dan WatchOS 9.6.3/10.0.1 dengan mengatasi masalah validasi sertifikat melalui pemeriksaan yang ditingkatkan.

Ketiga zero-day ini ditemukan dan dilaporkan oleh Bill Marczak dari Citizen Lab, Munk School Universitas Toronto dan Maddie Stone dari Grup Analisis Ancaman Google.

Meskipun Apple tidak mengungkapkan rincian spesifik tentang kerentanan keamanan, tetapi perusahaan tersebut memberikan penghargaan atas penemuan bug tersebut kepada Marczak dan Stone, ZDNet melaporkan.

Peneliti keamanan Citizen Lab dan Grup Analisis Ancaman Google mengungkapkan bug zero-day yang disalahgunakan dalam serangan spyware berisiko tinggi. 

Citizen Lab juga mengungkapkan, dua zero-day lainnya yang diperbaiki oleh Apple dalam pembaruan keamanan darurat awal bulan September 2023, CVE-2023-41061 dan CVE-2023-41064.

Bug ini disalahgunakan sebagai bagian dari rantai eksploitasi zero klik untuk menginfeksi iPhone yang telah ditambal sepenuhnya dengan spyware komersial Pegasus dari NSO grup.

Dengan menargetkan pejabat pemerintah, aktivis politik, dan jurnalis, Pegasus mampu mengakses perangkat dari jarak jauh untuk mengumpulkan data, memantau obrolan dan pertukaran email, serta memata-matai pengguna melalui kamera dan mikrofon perangkat.

Dan sejak awal tahun 2023, Apple telah melakukan beberapa patch, di antaranya:

• Bulan Februari: zero-day WebKit CVE-2023-23529.
• Bulan April: zero-day CVE-2023-28206 dan CVE-2023-28205.
• Bulan Mei: zero-day CVE-2023-32409, CVE-2023-28204, dan CVE-2023-32373.
• Bulan Juni: zero-day CVE-2023-32434, CVE-2023-32435, dan CVE-2023-32439.
• Bulan Juli: zero-day CVE-2023-37450 dan CVE-2023-38606.

Sementara itu, Apple baru saja menggulirkan update iOS 17.2.1. Besamaan dengan itu, Apple juga merilis iOS 16.7.4 untuk iPhone lawas.

Update iOS 16.7.4 ini hadirkan perbaikan masalah dengan aplikasi-aplikasi bawaaan alias built-in apps.

Dalam sejumlah kasus, jika seorang pengguna menghapus aplikasi bawaan Apple pada iPhone atau iPad yang menjalankan iOS 16.7.3 atau iPadOS 16.7.3 atau lebih lama, aplikasi tidak akan bisa diinstal lagi.

"Update ini memperbaiki masalah di mana aplikasi bawaan Apple yang mungkin telah dihapus tidak dapat dipasang kembali," kata Apple terkait update iOS 16.7.4.

Tidak banyak pengguna yang mengeluhkan masalah ini. Kemungkinan hal itu karena sebagian besar pengguna iPhone telah beralih ke iOS 17.

Namun, bagi mereka yang mengalami masalah dalam instal ulang aplikasi yang dihapus di iOS 16 atau iPadOS 16, update terbaru ini akan menangani masalah tersebut.

Sebelumnya, update iOS 17.2.1 dari Apple juga hadirkan perbaikan bug, namun Apple tidak memberi detail khusus tentang bug apa yang diperbaiki.

Bagi pengguna iPhone lawas yang masih menjalankan iOS 16, berikut cara untuk update iPhone mereka ke iOS 16.7.4 terbaru:

1. Buka Setting

2. Pilih General

3. Software Update, lalu jika ada update iOS 16.7.4 langsung unduh dan ikuti langkah selanjutnya untuk update perangkat ke iOS versi baru.