Ο προμηθευτής λογισμικού κατασκοπείας στοχεύει αιγυπτιακά όργανα με σπάνια αλυσίδα εκμετάλλευσης IOS

Αναδημοσίευση από τον Πλάτωνα

Ακολουθούν: 0

Μια ισραηλινή εταιρεία λογισμικού παρακολούθησης χρησιμοποίησε τα τρία τρωτά σημεία της Apple zero-day που αποκαλύφθηκαν την περασμένη εβδομάδα για να αναπτύξει μια αλυσίδα εκμετάλλευσης για iPhone και ένα Chrome zero-day για να εκμεταλλευτεί τα Android - όλα σε μια νέα επίθεση σε αιγυπτιακούς οργανισμούς.

Σύμφωνα με πρόσφατη έκθεση από την Ομάδα ανάλυσης απειλών (TAG) της Google, η εταιρεία — η οποία αυτοαποκαλείται «Intelexa» — χρησιμοποίησε την ειδική πρόσβαση που απέκτησε μέσω της αλυσίδας εκμετάλλευσης για να εγκαταστήσει το λογισμικό υποκλοπής υπογραφής «Predator» εναντίον αγνώστων στόχων στην Αίγυπτο.

Το Predator αναπτύχθηκε για πρώτη φορά από την Cytrox, έναν από τους πολλούς προγραμματιστές spyware που έχουν απορροφηθεί κάτω από την ομπρέλα της Intellexa τα τελευταία χρόνια, σύμφωνα με την TAG. Η εταιρεία είναι μια γνωστή απειλή: Η Intellexa είχε αναπτύξει στο παρελθόν το Predator εναντίον Αιγυπτίων πολιτών το 2021.

Οι μολύνσεις iPhone της Intellexa στην Αίγυπτο ξεκίνησαν με επιθέσεις man-in-the-middle (MITM), αναχαιτίζοντας τους χρήστες καθώς προσπαθούσαν να φτάσουν σε ιστότοπους http (τα κρυπτογραφημένα αιτήματα https δεν είχαν ανοσία).

«Η χρήση της ένεσης MITM δίνει στον εισβολέα μια δυνατότητα όπου δεν χρειάζεται να βασίζεται στον χρήστη για να κάνει μια τυπική ενέργεια όπως να κάνει κλικ σε έναν συγκεκριμένο σύνδεσμο, να ανοίξει ένα έγγραφο κ.λπ.», σημειώνουν οι ερευνητές του TAG μέσω email. "Αυτό είναι παρόμοιο με τις εκμεταλλεύσεις μηδενικού κλικ, αλλά χωρίς να χρειάζεται να βρεθεί μια ευπάθεια σε μια επιφάνεια επίθεσης μηδενικού κλικ."

Πρόσθεσαν, «αυτό είναι ένα ακόμη παράδειγμα των ζημιών που προκαλούν οι πωλητές εμπορικής επιτήρησης και των απειλών που αποτελούν όχι μόνο για τα άτομα, αλλά και για την κοινωνία γενικότερα».

3 Zero-Days στο iOS, 1 Attack Chain

Χρησιμοποιώντας το gambit MITM, οι χρήστες ανακατευθύνθηκαν σε έναν ιστότοπο που ελέγχεται από τους εισβολείς. Από εκεί, εάν ο εγκλωβισμένος χρήστης ήταν ο επιδιωκόμενος στόχος - κάθε επίθεση στοχεύει μόνο σε συγκεκριμένα άτομα - θα ανακατευθυνόταν σε έναν δεύτερο τομέα, όπου θα ενεργοποιούσε το exploit.

Η αλυσίδα εκμετάλλευσης της Intellexa περιελάμβανε τρεις ημέρες μηδέν τρωτά σημεία, τα οποία έχουν διορθωθεί από το iOS 17.0.1. Παρακολουθούνται ως CVE-2023-41993 — ένα σφάλμα απομακρυσμένης εκτέλεσης κώδικα (RCE) στο Safari. CVE-2023-41991 — ζήτημα επικύρωσης πιστοποιητικού που επιτρέπει την παράκαμψη PAC· και CVE-2023-41992 — που επιτρέπει την κλιμάκωση των προνομίων στον πυρήνα της συσκευής.

Μετά την ολοκλήρωση και των τριών βημάτων, ένα μικρό δυαδικό αρχείο θα καθόριζε εάν θα απορριφθεί το κακόβουλο λογισμικό Predator.

«Η εύρεση μιας πλήρους αλυσίδας εκμετάλλευσης μηδενικής ημέρας για το iOS είναι τυπικά καινοφανής όσον αφορά την εκμάθηση του τι είναι αυτή τη στιγμή αιχμής για τους επιτιθέμενους. Κάθε φορά που ένα zero-day exploit πιάνεται στην άγρια φύση, είναι η περίπτωση αποτυχίας για τους εισβολείς - δεν θέλουν να γνωρίζουμε ποιες ευπάθειες έχουν και πώς λειτουργούν οι εκμεταλλεύσεις τους», σημείωσαν οι ερευνητές στο email. «Ως βιομηχανία ασφάλειας και τεχνολογίας, είναι δουλειά μας να μάθουμε όσα περισσότερα μπορούμε για αυτά τα exploits για να τους κάνουμε πολύ πιο δύσκολο να δημιουργήσουν ένα νέο».

Μια μοναδική ευπάθεια στο Android

Εκτός από το iOS, η Intellexa στόχευσε τηλέφωνα Android μέσω MITM και εφάπαξ συνδέσμους που αποστέλλονται απευθείας σε στόχους.

Αυτή τη φορά χρειαζόταν μόνο μία ευπάθεια: CVE-2023-4762, υψηλής σοβαρότητας, αλλά βαθμολογία 8.8 στα 10 στην κλίμακα ευπάθειας-σοβαρότητας CVSS. Το ελάττωμα υπάρχει στο Google Chrome και επιτρέπει στους εισβολείς να εκτελούν αυθαίρετο κώδικα σε έναν κεντρικό υπολογιστή μέσω μιας ειδικά διαμορφωμένης σελίδας HTML. Ανεξάρτητα που αναφέρθηκε από έναν ερευνητή ασφάλειας και διορθώθηκε στις 5 Σεπτεμβρίου, η Google TAG πιστεύει ότι η Intellexa χρησιμοποιούσε προηγουμένως την ευπάθεια ως μηδενική ημέρα.

Τα καλά νέα είναι ότι τα ευρήματα θα στείλουν τους επίδοξους επιτιθέμενους πίσω στον πίνακα σχεδίασης, σύμφωνα με το Google TAG.

«Οι εισβολείς θα πρέπει τώρα να αντικαταστήσουν τέσσερα από τα zero-day exploits τους, πράγμα που σημαίνει ότι πρέπει να αγοράσουν ή να αναπτύξουν νέα exploits για να διατηρήσουν την ικανότητά τους να εγκαταστήσουν το Predator σε iPhone», έστειλαν οι ερευνητές μέσω email. «Κάθε φορά που τα κατορθώματά τους πιάνονται στη φύση, κοστίζει στους επιτιθέμενους χρήματα, χρόνο και πόρους».