A Triangulation művelet új rosszindulatú szoftverrel rendelkező iOS-eszközöket céloz meg

A Securelist kutatói a dedikált vállalati Wi-Fi hálózatuk mobileszközökhöz való hálózati forgalmának figyelése közben több iOS-alapú telefonról származó gyanús tevékenységet észleltek. A modern iOS-eszközök belső ellenőrzésének korlátai miatt a kutatók úgy döntöttek, hogy offline biztonsági másolatot készítenek a kérdéses eszközökről, és a Mobile Verification Toolkit mvt-ios eszközével elemezték azokat. Ezzel az elemzéssel a kompromisszumra utaló bizonyítékokat tártak fel, ami a „Háromszögelés hadműveletként” emlegetett kampány azonosításához vezetett.

A mobileszközök biztonsági másolatainak vizsgálatával, amelyek a fájlrendszer részleges másolatát tartalmazzák, beleértve a felhasználói adatokat és a szolgáltatási adatbázisokat, a kutatók fájlok és mappák időbélyegeit, valamint adatbázis rekordjait használhatták fel, hogy rekonstruálják az események durva idővonalát a feltört felületen. eszközöket. Az mvt-ios segédprogram megkönnyítette a "timeline.csv" nevű rendezett idővonal-fájl létrehozását, amely hasonló a hagyományos digitális kriminalisztikai eszközökben használt szuper-idővonalakhoz.

Ennek az idővonalnak a kihasználásával a kutatók sikeresen azonosítottak olyan konkrét műtermékeket, amelyek a kompromisszumot jelezték. Ez a felfedezés lendítette előre kutatásaikat, lehetővé téve számukra, hogy felvázolják a fertőzés általános sorrendjét a következőképpen:

• A megcélzott iOS-eszköz egy iMessage-üzenetet kap, amely exploit-terhelt mellékletet tartalmaz.
• Az üzenet sérülékenységet vált ki az eszközön belül, ami felhasználói beavatkozás nélkül kódfuttatáshoz vezet.
• Az exploit több egymást követő szakasz letöltésével folytatódik a parancs- és vezérlőkiszolgálóról, beleértve a jogosultságkiterjesztési exploitokat is.
• A sikeres kiaknázást követően a C&C szerverről letöltődik egy teljes funkcionalitású fejlett tartós fenyegetés (APT) platform, amely végső hasznos adatként szolgál.
• A kezdeti üzenet és az exploit melléklet törlődik, hogy lefedje a számokat.

Az operációs rendszer korlátai miatt a rosszindulatú eszközkészletből hiányzik a tartósság. Következésképpen több eszköz idővonala az újraindítás utáni újrafertőződés lehetőségére utal. A fertőzés legkorábbi azonosított nyomai 2019-ből származnak. 2023 júniusától a támadás továbbra is folyamatban van, és az iOS 15.7-es verzióját, a cikk írásakor a legújabb verziót futtató eszközöket célozza meg.
A végső hasznos teher elemzése még folyamatban van. A root jogosultságokkal futó kód egy sor parancsot valósít meg a rendszer és a felhasználói információk összegyűjtésére, és tetszőleges kódot futtathat, amelyet a C&C szerverről beépülő modulként kapott.

Kulcsfontosságú megjegyezni, hogy annak ellenére, hogy a rosszindulatú programok speciális kódszegmenseket tartalmaznak a kompromittálás nyomainak törlésére, továbbra is megbízhatóan megállapítható, hogy egy eszközt feltörtek-e. Ezen túlmenően, ha egy új eszközt úgy állítanak be, hogy egy régebbi eszközről migrálják a felhasználói adatokat, mindkét eszköz iTunes biztonsági másolata pontos időbélyegekkel ellátott kompromisszumok nyomait fogja tartalmazni.

Miért nehéz boncolgatni az iOS Phone malware-t?

Az iOS-telefonok rosszindulatú programjai általában nehezebben boncolhatók ki, mint a más operációs rendszereket, például az Androidot célzó kártevők. Ennek több oka is van:

Zárt ökoszisztéma: Az iOS egy zárt ökoszisztéma, ami azt jelenti, hogy az Apple szigorúan ellenőrzi a hardver, a szoftver és az alkalmazások terjesztését az eszközein. Ez a zártság nagyobb kihívást jelent a rosszindulatú programok számára, hogy megvegyék a lábukat és elterjedjenek a rendszeren belül.

Az App Store felülvizsgálati folyamata: Az App Store szigorú felülvizsgálati folyamattal rendelkezik, amelynek során minden alkalmazást átvizsgálnak, mielőtt letölthetővé válnak. Ez a folyamat segít megakadályozni a rosszindulatú alkalmazások széles körben történő terjesztését. Ez ugyan nem zárja ki teljesen a rosszindulatú programok átcsúszásának lehetőségét, de egy további védelmi réteget biztosít.

Sandbox: Az iOS-alkalmazások homokozóban vannak, ami azt jelenti, hogy saját korlátozott környezetükben működnek, és korlátozott hozzáférésük van a mögöttes rendszererőforrásokhoz és -adatokhoz. Ez az elkülönítés megakadályozza, hogy a rosszindulatú programok könnyen elterjedjenek a rendszer különböző részein.

Kód aláírása és titkosítása: Az iOS-alkalmazásokat az Apple által kiadott fejlesztői tanúsítvánnyal kell aláírni. Ez a kódaláírás biztosítja, hogy csak arra jogosult fejlesztők hozhatnak létre és terjeszthetnek alkalmazásokat. Ezenkívül az iOS erős titkosítási intézkedéseket alkalmaz, ami megnehezíti az alkalmazás kódjának elemzését és megváltoztatását.

Korlátozott felhasználói jogosultságok: Az iOS korlátozza a felhasználói jogosultságokat, megakadályozva, hogy az alkalmazások kifejezett felhasználói engedély nélkül hozzáférjenek az eszköz érzékeny területeihez. Ez a korlátozás csökkenti a rosszindulatú programok lehetséges hatását.

Bár az iOS számos biztonsági funkciót kínál, fontos megjegyezni, hogy egyetlen rendszer sem teljesen immunis a rosszindulatú programok ellen. Volt már példa iOS rosszindulatú programra, de a fent említett tényezők miatt általában kevésbé elterjedt más platformokhoz képest. A technológia fejlődésével azonban a rosszindulatú programok készítői folyamatosan alkalmazkodnak, és új módszereket találnak a sérülékenységek kihasználására, ami folyamatos biztonsági intézkedéseket és éberséget tesz szükségessé.