תוקפי תוכנות ריגול של 'Operation Triangulation' עוקפים את הגנות הזיכרון של האייפון

תכונת חומרה שלא תועדה בעבר במערכת האייפון על שבב (SoC) של אפל מאפשרת ניצול של פגיעויות מרובות, ובסופו של דבר מאפשרת לתוקפים לעקוף את הגנת הזיכרון מבוססת החומרה.

הפגיעות ממלאת תפקיד מרכזי במסע הפרסום המתוחכם של האיום המתמשך (APT) "Operation Triangulation" ללא קליקים, על פי לדווח מצוות המחקר והניתוח העולמי של קספרסקי (GReAT).

השמיים קמפיין ריגול סייבר של מבצע טריאנגולציה iOS קיים מאז 2019 וניצל מספר נקודות תורפה כאפס ימים כדי לעקוף אמצעי אבטחה באייפון, מה שמהווה סיכון מתמשך לפרטיותם ואבטחתם של המשתמשים. היעדים כללו דיפלומטים רוסים ובכירים אחרים שם, כמו גם מפעלים פרטיים כמו קספרסקי עצמה.

ביוני הוציאה קספרסקי את א לדווח מציע פרטים נוספים על שתל תוכנת הריגול TriangleDB בשימוש בקמפיין, תוך הדגשת יכולות ייחודיות רבות, למשל תכונות מושבתות שיכולות להיפרס בעתיד.

השבוע, הצוות הציג את הממצאים האחרונים שלו בקונגרס ה-37 של כאוס תקשורת בהמבורג, גרמניה, וכינה אותו "שרשרת התקיפה המתוחכמת ביותר" שעדיין ראו בשימוש במבצע.

התקפת אפס קליקים מכוונת לאפליקציית iMessage של האייפון, המכוונת לגרסאות iOS עד iOS 16.2. כשהיא נראתה לראשונה, היא ניצלה ארבעה ימי אפס עם שכבות מתקפה מורכבות.

בתוך 'מבצע טריאנגולציה' מתקפת אפס קליק נייד

המתקפה מתחילה בתמימות כאשר שחקנים זדוניים שולחים קובץ מצורף של iMessage, תוך ניצול הפגיעות של ביצוע קוד מרחוק (RCE) CVE-2023-41990.

ניצול זה מכוון להוראת גופן ADJUST TrueType הבלתי מתועדת בלעדית לאפל, הקיימת מאז שנות התשעים המוקדמות לפני תיקון שלאחר מכן.

לאחר מכן, רצף ההתקפה מעמיק יותר, תוך שימוש בתכנות מוכווני החזרה/קפיצה ושלבי שפת השאילתות NSExpression/NSPredicate כדי לתפעל את ספריית JavaScriptCore.

התוקפים הטמיעו ניצול הסלמה מיוחס ב-JavaScript, מסובך בקפידה כדי להסתיר את התוכן שלו, המשתרע על פני כ-11,000 שורות קוד.

תמרוני הניצול המורכב הזה של JavaScriptCore דרך הזיכרון של JavaScriptCore ומבצע פונקציות API מקוריות על ידי ניצול תכונת ניפוי הבאגים של JavaScriptCore DollarVM ($vm).

ניצול פגיעות של הצפת מספרים שלמים שאחריה CVE-2023-32434 בתוך מערכות מיפוי הזיכרון של XNU, התוקפים מקבלים גישת קריאה/כתיבה חסרת תקדים לזיכרון הפיזי של המכשיר ברמת משתמש.

יתר על כן, הם עוקפים בכישרון את שכבת הגנת הדף (PPL) באמצעות אוגרי I/O (MMIO) ממופי זיכרון חומרה, פגיעות נוגעת מנוצל כיום אפס על ידי קבוצת מבצע טריאנגולציה אבל בסופו של דבר התייחסו כ CVE-2023-38606 מאת אפל.

עם חדירת ההגנות של המכשיר, התוקפים מפעילים שליטה סלקטיבית על ידי התחלת תהליך IMAgent, תוך הזרקת מטען כדי לנקות עקבות ניצול כלשהם.

לאחר מכן, הם יוזמים תהליך ספארי בלתי נראה המופנה לדף אינטרנט המכיל את השלב הבא של הניצול.

דף האינטרנט מבצע אימות קורבן, ולאחר אימות מוצלח, מפעיל ניצול ספארי, באמצעות CVE-2023-32435 כדי לבצע קוד מעטפת.

קוד מעטפת זה מפעיל עוד ניצול ליבה בצורה של קובץ אובייקט Mach, וממנף שניים מאותם CVEs ששימשו בשלבים קודמים (CVE-2023-32434 ו-CVE-2023-38606).

לאחר קבלת הרשאות שורש, התוקפים מתזמרים שלבים נוספים, ובסופו של דבר מתקינים תוכנות ריגול.

תחכום הולך וגדל בהתקפות סייבר של אייפון

הדו"ח ציין שהמתקפה המורכבת ומרובה השלבים מציגה רמה חסרת תקדים של תחכום, מנצלת נקודות תורפה מגוונות במכשירי iOS ומעלה חששות לגבי הנוף המתפתח של איומי סייבר.

בוריס לרין, חוקר אבטחה ראשי קספרסקי, מסביר כי פגיעות החומרה החדשה מבוססת אולי על העיקרון של "אבטחה באמצעות ערפול", וייתכן שנועדה לבדיקה או לניפוי באגים.

"בעקבות מתקפת ה-iMessage הראשונית בלחיצת אפס והסלמה של ההרשאות שלאחר מכן, התוקפים מינפו את התכונה כדי לעקוף הגנות אבטחה מבוססות חומרה ולתפעל את התוכן של אזורי זיכרון מוגנים", הוא אומר. "השלב הזה היה חיוני להשגת שליטה מלאה על המכשיר."

הוא מוסיף כי ככל הידוע לצוות קספרסקי, תכונה זו לא תועדה בפומבי, והיא אינה בשימוש על ידי הקושחה, מה שמהווה אתגר משמעותי באיתור וניתוח שלה באמצעות שיטות אבטחה קונבנציונליות.

"אם אנחנו מדברים על מכשירי iOS, בגלל האופי הסגור של המערכות האלה, זה באמת קשה לזהות התקפות כאלה", אומר לרין. "שיטות הזיהוי היחידות הזמינות עבור אלה הן ביצוע ניתוח תעבורת רשת וניתוח משפטי של גיבויי מכשירים שנעשו עם iTunes."

הוא מסביר כי לעומת זאת, מערכות macOS שולחניות ומחשב נייד פתוחות יותר ולכן, זמינות שיטות זיהוי יעילות יותר עבור אלה.

"במכשירים האלה אפשר להתקין זיהוי ותגובה של נקודות קצה (EDR) פתרונות שיכולים לסייע בזיהוי התקפות כאלה", מציין לרין.

הוא ממליץ לצוותי אבטחה לעדכן את מערכת ההפעלה, היישומים ותוכנת האנטי-וירוס שלהם באופן קבוע; תיקון כל פגיעות ידועה; ולספק לצוותי ה-SOC שלהם גישה למודיעין האיומים העדכני ביותר.

"הטמיע פתרונות EDR לזיהוי, חקירה ותיקון בזמן של תקריות ברמת נקודת הקצה, אתחל מחדש מדי יום כדי לשבש זיהומים מתמשכים, השבת את iMessage ו-Facetime כדי להפחית סיכוני ניצול אפס קליקים, והתקן מייד עדכוני iOS כדי להגן מפני נקודות תורפה ידועות", לרין מוסיף.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/application-security/operation-triangulation-spyware-attackers-bypass-iphone-memory-protections