Spyware Vendor Targets Egyptian Orgs With Rare IOS Exploit Chain

Republicado por Platão

seguidores: 0

Uma empresa israelense de software de vigilância usou as três vulnerabilidades de dia zero da Apple divulgadas na semana passada para desenvolver uma cadeia de exploração para iPhones e uma vulnerabilidade de dia zero do Chrome para explorar Androids – tudo em um novo ataque a organizações egípcias.

De acordo com um relatório recente do Grupo de Análise de Ameaças (TAG) do Google, a empresa - que se autodenomina “Intellexa” – utilizou o acesso especial que obteve através da cadeia de exploração para instalar o seu spyware “Predator” exclusivo contra alvos não identificados no Egito.

O Predator foi desenvolvido pela Cytrox, um dos vários desenvolvedores de spyware que foram absorvidos pela Intellexa nos últimos anos, de acordo com a TAG. A empresa é uma ameaça conhecida: Intellexa já havia implantado o Predator contra cidadãos egípcios em 2021.

As infecções de iPhone da Intellexa no Egito começaram com ataques man-in-the-middle (MITM), interceptando usuários enquanto tentavam acessar sites http (solicitações https criptografadas eram imunes).

“O uso da injeção MITM dá ao invasor uma capacidade em que ele não precisa depender do usuário para realizar uma ação típica, como clicar em um link específico, abrir um documento, etc.”, observam os pesquisadores da TAG por e-mail. “Isso é semelhante às explorações de clique zero, mas sem a necessidade de encontrar uma vulnerabilidade em uma superfície de ataque de clique zero.”

Acrescentaram que “este é mais um exemplo dos danos causados pelos fornecedores de vigilância comercial e das ameaças que representam não apenas para os indivíduos, mas para a sociedade em geral”.

3 Zero-Days no iOS, 1 Cadeia de Ataque

Usando a estratégia MITM, os usuários foram redirecionados para um site controlado pelo invasor. A partir daí, se o usuário capturado fosse o alvo pretendido – cada ataque direcionado apenas a indivíduos específicos – ele seria redirecionado para um segundo domínio, onde a exploração seria acionada.

A cadeia de exploração do Intellexa envolveu três ataques de dia zero vulnerabilidades, que foram corrigidas a partir do iOS 17.0.1. Eles são rastreados como CVE-2023-41993 — um bug de execução remota de código (RCE) no Safari; CVE-2023-41991 — um problema de validação de certificado que permite ignorar o PAC; e CVE-2023-41992 — que permite o escalonamento de privilégios no kernel do dispositivo.

Após a conclusão de todas as três etapas, um pequeno binário determinaria se o malware Predator deveria ser descartado.

“A descoberta de uma cadeia completa de exploração de dia zero para iOS é normalmente uma novidade para aprender o que é atualmente o que há de mais moderno para os invasores. Cada vez que uma exploração de dia zero é detectada, é um caso de falha para os invasores – eles não querem que saibamos quais vulnerabilidades eles têm e como suas explorações funcionam”, observaram os pesquisadores no e-mail. “Como indústria de segurança e tecnologia, é nosso trabalho aprender o máximo que pudermos sobre essas explorações para tornar ainda mais difícil a criação de uma nova.”

Uma vulnerabilidade singular no Android

Além do iOS, a Intellexa direcionou telefones Android via MITM e links únicos enviados diretamente aos alvos.

Desta vez, apenas uma vulnerabilidade foi necessária: CVE-2023-4762, de alta gravidade, mas com classificação de 8.8 em 10 na escala de vulnerabilidade e gravidade do CVSS. A falha existe no Google Chrome e permite que invasores executem código arbitrário em uma máquina host por meio de uma página HTML especialmente criada. Relatado de forma independente por um pesquisador de segurança e corrigido em 5 de setembro, o Google TAG acredita que a Intellexa estava usando anteriormente a vulnerabilidade como dia zero.

A boa notícia é que as descobertas enviarão os possíveis invasores de volta à prancheta, de acordo com o Google TAG.

“Os invasores agora terão que substituir quatro de suas explorações de dia zero, o que significa que terão que comprar ou desenvolver novas explorações para manter a capacidade de instalar o Predator em iPhones”, enviaram os pesquisadores por e-mail. “Cada vez que suas explorações são detectadas, isso custa dinheiro, tempo e recursos aos invasores.”