'Operation Triangulation' Spyware-angripere omgår IPhone-minnebeskyttelse

Publisert av Platon

Følgere: 0

En tidligere udokumentert maskinvarefunksjon i Apples iPhone System on a Chip (SoC) muliggjør utnyttelse av flere sårbarheter, og lar angripere til slutt omgå maskinvarebasert minnebeskyttelse.

Sårbarheten spiller en sentral rolle i den sofistikerte avanserte vedvarende trusselen (APT) «Operation Triangulation» null-klikk-kampanjen, ifølge en rapporterer fra Kasperskys globale forsknings- og analyseteam (GReAT).

De Operasjon Triangulering iOS cyberspionage spionkampanje har eksistert siden 2019 og har brukt flere sårbarheter som null dager for å omgå sikkerhetstiltak i iPhones, noe som utgjør en vedvarende risiko for brukernes personvern og sikkerhet. Mål har inkludert russiske diplomater og andre tjenestemenn der, samt private virksomheter som Kaspersky selv.

I juni ga Kaspersky ut en rapporterer tilbyr ytterligere detaljer om TriangleDB-spywareimplantatet som ble brukt i kampanjen, og fremhever en rekke unike funksjoner, for eksempel funksjonshemmede funksjoner som kan distribueres i fremtiden.

Denne uken presenterte teamet sine siste funn på den 37. Chaos Communication Congress i Hamburg, Tyskland, og kalte det "den mest sofistikerte angrepskjeden" de ennå hadde sett bli brukt i operasjonen.

Null-klikk-angrepet er rettet mot iPhones iMessage-app, rettet mot iOS-versjoner opp til iOS 16.2. Da den først ble sett, utnyttet den fire nulldager med intrikat strukturerte angrepslag.

Inne i "Operation Triangulation" Zero-Click Mobile Attack

Angrepet begynner uskyldig når ondsinnede aktører sender et iMessage-vedlegg og utnytter sikkerhetsproblemet med ekstern kjøring av kode (RCE). CVE-2023-41990.

Denne utnyttelsen retter seg mot den udokumenterte ADJUST TrueType-fontinstruksjonen eksklusiv for Apple, som har eksistert siden tidlig på nittitallet før en påfølgende oppdatering.

Angrepssekvensen dykker deretter dypere og utnytter retur/hopp-orientert programmering og NSExpression/NSPredicate-spørringsspråkstadier for å manipulere JavaScriptCore-biblioteket.

Angriperne har innebygd en privilegert eskaleringsutnyttelse i JavaScript, nøye tilslørt for å skjule innholdet, som spenner over omtrent 11,000 XNUMX linjer med kode.

Denne intrikate JavaScript-utnyttingsmanøvreringen gjennom JavaScriptCores minne og utfører native API-funksjoner ved å utnytte JavaScriptCore-feilsøkingsfunksjonen DollarVM ($vm).

Utnytter et heltallsoverløpssårbarhet sporet som CVE-2023-32434 i XNUs minnekartleggingssyscaller får angriperne enestående lese-/skrivetilgang til enhetens fysiske minne på brukernivå.

I tillegg omgår de Page Protection Layer (PPL) med maskinvareminnetilordnede I/O-registre (MMIO), en bekymringsfull sårbarhet utnyttet som en nulldag av Operation Triangulation-gruppen men til slutt adressert som CVE-2023-38606 av Apple.

Etter å ha penetrert enhetens forsvar, utøver angriperne selektiv kontroll ved å starte IMAgent-prosessen, injisere en nyttelast for å fjerne eventuelle utnyttelsesspor.

Deretter starter de en usynlig Safari-prosess omdirigert til en nettside som inneholder neste trinn av utnyttelsen.

Nettsiden utfører offerverifisering og, ved vellykket autentisering, utløser en Safari-utnyttelse ved å bruke CVE-2023-32435 for å utføre en shellcode.

Denne skallkoden aktiverer enda en kjerneutnyttelse i form av en Mach-objektfil, og utnytter to av de samme CVE-ene som ble brukt i tidligere stadier (CVE-2023-32434 og CVE-2023-38606).

Når angriperne har oppnådd root-privilegier, orkestrerer de flere stadier, og installerer til slutt spionprogrammer.

En voksende sofistikering i iPhone-cyberangrep

Rapporten bemerket at det intrikate flertrinnsangrepet presenterer et enestående nivå av sofistikering, utnytter varierte sårbarheter på tvers av iOS-enheter og øker bekymringer over det utviklende landskapet av cybertrusler.

Boris Larin, hovedsikkerhetsforsker Kaspersky, forklarer at den nye maskinvaresårbarheten muligens er basert på prinsippet om "sikkerhet gjennom obscurity", og kan ha vært ment for testing eller feilsøking.

"Etter det første null-klikk iMessage-angrepet og påfølgende rettighetseskalering, utnyttet angriperne funksjonen til å omgå maskinvarebasert sikkerhetsbeskyttelse og manipulere innholdet i beskyttede minneregioner," sier han. "Dette trinnet var avgjørende for å få full kontroll over enheten."

Han legger til at så vidt Kaspersky-teamet kjenner til, hadde ikke denne funksjonen blitt offentlig dokumentert, og den brukes ikke av fastvaren, noe som utgjør en betydelig utfordring i dets deteksjon og analyse ved bruk av konvensjonelle sikkerhetsmetoder.

"Hvis vi snakker om iOS-enheter, på grunn av den lukkede naturen til disse systemene, er det veldig vanskelig å oppdage slike angrep," sier Larin. "De eneste gjenkjenningsmetodene som er tilgjengelige for disse er å utføre en nettverkstrafikkanalyse og rettsmedisinsk analyse av sikkerhetskopiering av enheter laget med iTunes."

Han forklarer at i motsetning er stasjonære og bærbare macOS-systemer mer åpne, og derfor er mer effektive deteksjonsmetoder tilgjengelige for disse.

"På disse enhetene er det mulig å installere endepunktdeteksjon og respons (EDR) løsninger som kan bidra til å oppdage slike angrep,» bemerker Larin.

Han anbefaler at sikkerhetsteam oppdaterer operativsystem, applikasjoner og antivirusprogramvare regelmessig; lappe eventuelle kjente sårbarheter; og gi SOC-teamene deres tilgang til den nyeste trusselinformasjonen.

"Implementer EDR-løsninger for deteksjon, etterforskning og rettidig utbedring av hendelser på endepunktsnivå, start på nytt daglig for å forstyrre vedvarende infeksjoner, deaktiver iMessage og Facetime for å redusere risikoen for utnyttelse av null-klikk, og installer iOS-oppdateringer umiddelbart for å beskytte mot kjente sårbarheter," Larin legger til.