“三角测量行动”间谍软件攻击者绕过 iPhone 内存保护

Apple 的 iPhone 片上系统 (SoC) 中以前未记录的硬件功能允许利用多个漏洞，最终让攻击者绕过基于硬件的内存保护。

据一份报告称，该漏洞在复杂的高级持续威胁（APT）“三角测量行动”零点击活动中发挥着核心作用。 报告 来自卡巴斯基全球研究与分析团队 (GReAT)。

三角测量行动 iOS 网络间谍活动 自 2019 年以来一直存在，并利用多个漏洞作为零日漏洞来绕过 iPhone 中的安全措施，对用户的隐私和安全构成持续风险。目标包括俄罗斯外交官和其他官员，以及卡巴斯基本身等私营企业。

6月，卡巴斯基发布了 报告 提供有关该活动中使用的 TriangleDB 间谍软件植入的更多详细信息，强调许多独特的功能，例如将来可能部署的禁用功能。

本周，该团队在德国汉堡举行的第 37 届混沌通信大会上展示了他们的最新发现，称其为他们在行动中见过的“最复杂的攻击链”。

零点击攻击针对的是 iPhone 的 iMessage 应用程序，针对的是 iOS 16.2 之前的 iOS 版本。当它第一次被发现时，它利用了四个具有复杂结构的攻击层的零日漏洞。

“三角测量行动”零点击移动攻击的内部

当恶意行为者利用远程代码执行 (RCE) 漏洞发送 iMessage 附件时，攻击会无辜地开始 CVE-2023-41990.

此漏洞利用的目标是 Apple 独有的未记录的 ADJUST TrueType 字体指令，该指令自 90 年代初就存在，随后发布补丁。

然后，攻击序列会深入研究，利用面向返回/跳转的编程和 NSExpression/NSPredicate 查询语言阶段来操纵 JavaScriptCore 库。

攻击者在 JavaScript 中嵌入了特权升级漏洞，并仔细混淆以隐藏其内容，该内容跨越大约 11,000 行代码。

这种复杂的 JavaScript 漏洞利用 JavaScriptCore 的内存进行操作，并通过利用 JavaScriptCore 调试功能 DollarVM ($vm) 来执行本机 API 函数。

利用整数溢出漏洞跟踪为 CVE-2023-32434 在 XNU 的内存映射系统调用中，攻击者可以在用户级别获得对设备物理内存前所未有的读/写访问权限。

此外，他们利用硬件内存映射 I/O (MMIO) 寄存器巧妙地绕过页面保护层 (PPL)，这是一个令人担忧的漏洞 被三角测量组织用作零日漏洞 但最终被解决为 CVE-2023-38606 由苹果公司。

渗透设备的防御后，攻击者通过启动 IMAgent 进程、注入有效负载来清除任何利用痕迹来进行选择性控制。

随后，他们启动一个不可见的 Safari 进程，重定向到包含下一阶段漏洞利用的网页。

该网页执行受害者验证，并在身份验证成功后触发 Safari 漏洞利用，使用 CVE-2023-32435 执行 shellcode。

此 shellcode 以 Mach 对象文件的形式激活另一个内核漏洞，利用先前阶段使用的两个相同的 CVE（CVE-2023-32434 和 CVE-2023-38606）。

一旦获得 root 权限，攻击者就会策划额外的阶段，最终安装间谍软件。

iPhone 网络攻击日益复杂

该报告指出，这种复杂的多阶段攻击达到了前所未有的复杂程度，利用了 iOS 设备上的各种漏洞，并引发了人们对不断变化的网络威胁格局的担忧。

卡巴斯基首席安全研究员鲍里斯·拉林 (Boris Larin) 解释说，新的硬件漏洞可能基于“通过模糊实现安全”的原则，可能是为了测试或调试。

“在最初的零点击 iMessage 攻击和随后的权限升级之后，攻击者利用该功能绕过基于硬件的安全保护并操纵受保护内存区域的内容，”他说。 “这一步对于获得对设备的完全控制至关重要。”

他补充说，据卡巴斯基团队所知，该功能尚未公开记录，并且固件也没有使用它，这对使用传统安全方法进行检测和分析提出了重大挑战。

“如果我们谈论的是 iOS 设备，由于这些系统的封闭性，很难检测到此类攻击，”Larin 说。 “对此可用的唯一检测方法是对使用 iTunes 制作的设备备份执行网络流量分析和取证分析。”

他解释说，相比之下，台式机和笔记本电脑 macOS 系统更加开放，因此可以使用更有效的检测方法。

“在这些设备上可以安装 端点检测和响应 (EDR) 可以帮助检测此类攻击的解决方案，”Larin 指出。

他建议安全团队定期更新操作系统、应用程序和防病毒软件；修补任何已知的漏洞；并为其 SOC 团队提供最新威胁情报的访问权限。

“实施 EDR 解决方案以进行端点级检测、调查和及时补救事件，每天重新启动以中断持续感染，禁用 iMessage 和 Facetime 以减少零点击漏洞利用风险，并及时安装 iOS 更新以防范已知漏洞，”Larin补充道。

• SEO 支持的内容和 PR 分发。 今天得到放大。
• PlatoData.Network 垂直生成人工智能。 赋予自己力量。 访问这里。
• 柏拉图爱流。 Web3 智能。 知识放大。 访问这里。
• 柏拉图ESG。 碳， 清洁科技, 能源， 环境， 太阳能， 废物管理。 访问这里。
• 柏拉图健康。 生物技术和临床试验情报。 访问这里。
• Sumber: https://www.darkreading.com/application-security/operation-triangulation-spyware-attackers-bypass-iphone-memory-protections