스파이웨어 공급업체는 희귀한 IOS 익스플로잇 체인으로 이집트 조직을 표적으로 삼았습니다

플라톤에 의해 재발행

팔로워 : 0

이스라엘의 한 감시웨어 회사는 지난 주에 공개된 세 가지 Apple 제로데이 취약점을 사용하여 iPhone용 익스플로잇 체인을 개발했고 Chrome 제로데이를 사용하여 Android를 악용했습니다. 모두 이집트 조직에 대한 새로운 공격이었습니다.

최근 보고서에 따르면 Google의 위협 분석 그룹(TAG)에서 스스로를 "Intellexa"라고 부르는 회사 — 익스플로잇 체인을 통해 얻은 특수 액세스를 사용하여 이집트의 이름 없는 대상을 대상으로 시그니처 "Predator" 스파이웨어를 설치했습니다.

TAG에 따르면 Predator는 최근 Intellexa 산하로 흡수된 여러 스파이웨어 개발자 중 하나인 Cytrox에 의해 처음 개발되었습니다. 회사는 알려진 위협입니다. Intellexa는 이전에 Predator를 배포한 적이 있습니다. 2021년 이집트 시민을 상대로.

이집트에서 Intellexa의 iPhone 감염은 중간자(MITM) 공격으로 시작되어 http 사이트에 접속하려는 사용자를 가로채었습니다(암호화된 https 요청은 면역됨).

TAG 연구원들은 이메일을 통해 “MITM 주입을 사용하면 공격자가 특정 링크 클릭, 문서 열기 등과 같은 일반적인 작업을 수행하기 위해 사용자에게 의존할 필요가 없는 기능을 제공합니다.”라고 밝혔습니다. “이는 제로클릭 공격과 유사하지만 제로클릭 공격 표면에서 취약점을 찾을 필요가 없습니다.”

그들은 “이것은 상업용 감시 공급업체가 초래하는 피해와 이들이 개인뿐만 아니라 사회 전체에 가하는 위협의 또 다른 예입니다.”라고 덧붙였습니다.

iOS의 제로데이 3개, 공격 체인 1개

MITM 도박을 사용하여 사용자는 공격자가 제어하는 사이트로 리디렉션되었습니다. 거기에서, 올무에 걸린 사용자가 의도된 표적이라면(각 공격은 특정 개인만을 겨냥함) 두 번째 도메인으로 리디렉션되어 익스플로잇이 실행됩니다.

Intellexa의 익스플로잇 체인에는 XNUMX개의 제로데이가 포함되었습니다. 패치된 취약점 iOS 17.0.1 기준. 그들은 다음과 같이 추적됩니다. CVE-2023-41993 — Safari의 원격 코드 실행(RCE) 버그 CVE-2023-41991 — PAC 우회를 허용하는 인증서 검증 문제; 그리고 CVE-2023-41992 — 장치 커널에서 권한 상승을 활성화합니다.

세 단계가 모두 완료되면 작은 바이너리가 Predator 악성 코드를 삭제할지 여부를 결정합니다.

“iOS에 대한 전체 제로데이 익스플로잇 체인의 발견은 일반적으로 공격자가 현재 최첨단 기술을 배우고 있다는 점에서 새로운 것입니다. 제로데이 익스플로잇이 실제로 발견될 때마다 공격자에게는 실패 사례가 됩니다. 그들은 자신이 어떤 취약점을 갖고 있는지, 익스플로잇이 어떻게 작동하는지 우리가 알기를 원하지 않습니다.”라고 연구원들은 이메일에서 언급했습니다. "보안 및 기술 산업으로서 이러한 공격에 대해 최대한 많이 배워 새로운 공격을 만들기가 훨씬 더 어려워지는 것이 우리의 임무입니다."

안드로이드의 단일 취약점

iOS 외에도 Intellexa는 MITM을 통해 Android 휴대폰을 타겟으로 삼았고 타겟에 직접 전송된 일회성 링크를 제공했습니다.

이번에는 단 하나의 취약점만 필요했습니다. CVE-2023-4762, 심각도가 높지만 CVSS 취약성 심각도 척도에서 8.8점 만점에 10점을 받았습니다. 결함 Google 크롬에 존재함 공격자가 특별히 제작된 HTML 페이지를 통해 호스트 시스템에서 임의의 코드를 실행할 수 있습니다. 보안 연구원이 독립적으로 보고하고 5월 XNUMX일 패치가 적용된 Google TAG는 Intellexa가 이전에 이 취약점을 제로데이로 사용했다고 믿고 있습니다.

좋은 소식은 Google TAG에 따르면 이번 조사 결과를 통해 잠재적인 공격자들이 다시 계획대로 돌아갈 것이라는 점입니다.

“공격자들은 이제 제로데이 익스플로잇 중 XNUMX개를 교체해야 합니다. 즉, iPhone에 Predator를 설치할 수 있는 능력을 유지하려면 새로운 익스플로잇을 구입하거나 개발해야 합니다.”라고 연구원들이 이메일로 보냈습니다. "그들의 익스플로잇이 실제로 발견될 때마다 공격자에게 비용, 시간, 리소스가 소요됩니다."