Triangulação de operação visa dispositivos iOS com novo malware

Ao monitorar o tráfego de rede de sua rede Wi-Fi corporativa dedicada para dispositivos móveis, os pesquisadores da Securelist detectaram atividades suspeitas provenientes de vários telefones baseados em iOS. Devido às limitações inerentes à inspeção interna de dispositivos iOS modernos, os pesquisadores optaram por criar backups offline dos dispositivos em questão e analisá-los usando a ferramenta mvt-ios do Mobile Verification Toolkit. Por meio dessa análise, eles descobriram evidências de comprometimento, levando à identificação de uma campanha conhecida como "Operação Triangulação".

Ao examinar os backups de dispositivos móveis, que abrangem uma réplica parcial do sistema de arquivos, incluindo dados do usuário e bancos de dados de serviço, os pesquisadores foram capazes de utilizar carimbos de data/hora de arquivos e pastas, bem como registros de banco de dados, para reconstruir uma linha do tempo aproximada de eventos no comprometido dispositivos. O utilitário mvt-ios facilitou a criação de um arquivo de linha do tempo classificado chamado "timeline.csv", semelhante às superlinhas do tempo utilizadas nas ferramentas forenses digitais tradicionais.

Aproveitando essa linha do tempo, os pesquisadores identificaram com sucesso artefatos específicos que indicavam o comprometimento. Essa descoberta impulsionou sua pesquisa, permitindo-lhes delinear a sequência geral da infecção da seguinte forma:

• O dispositivo iOS de destino recebe um iMessage contendo um anexo carregado de exploração.
• A mensagem aciona uma vulnerabilidade no dispositivo, levando à execução do código sem nenhuma interação do usuário.
• A exploração prossegue para baixar vários estágios subsequentes do servidor de comando e controle (C&C), incluindo explorações de escalonamento de privilégios.
• Após a exploração bem-sucedida, uma plataforma de ameaça persistente avançada (APT) com todos os recursos, servindo como carga útil final, é baixada do servidor C&C.
• A mensagem inicial e o anexo de exploração são excluídos para cobrir os rastros.

Devido às limitações do sistema operacional, o conjunto de ferramentas malicioso não tem persistência. Consequentemente, os cronogramas de vários dispositivos sugerem a possibilidade de reinfecção após a reinicialização. Os primeiros vestígios identificados de infecção datam de 2019. Em junho de 2023, o ataque continua em andamento, visando dispositivos executando o iOS 15.7, a versão mais recente no momento da redação deste artigo.
A análise da carga útil final ainda está em andamento. Executando com privilégios de root, o código implementa uma variedade de comandos para coletar informações do sistema e do usuário e pode executar código arbitrário obtido como módulos de plug-in do servidor C&C.

É crucial observar que, apesar do malware incorporar segmentos de código específicos dedicados a apagar vestígios de comprometimento, ainda é possível determinar com segurança se um dispositivo foi comprometido. Além disso, se um novo dispositivo for configurado migrando os dados do usuário de um dispositivo mais antigo, o backup do iTunes de ambos os dispositivos conterá vestígios de comprometimento com carimbos de data/hora precisos.

Por que o malware do telefone iOS é difícil de dissecar?

O malware do telefone iOS geralmente é considerado mais difícil de dissecar em comparação com o malware direcionado a outros sistemas operacionais, como o Android. Há várias razões para isso:

Ecossistema fechado: o iOS é um ecossistema fechado, o que significa que a Apple controla rigidamente o hardware, o software e a distribuição de aplicativos em seus dispositivos. Essa natureza fechada torna mais difícil para o malware ganhar uma posição e se espalhar dentro do sistema.

Processo de revisão da App Store: A App Store tem um processo de revisão rigoroso em que cada aplicativo é analisado antes de ser disponibilizado para download. Esse processo ajuda a impedir que aplicativos maliciosos sejam amplamente distribuídos. Embora isso não elimine completamente a possibilidade de infiltração de malware, ele fornece uma camada adicional de proteção.

Sandboxing: os aplicativos iOS são colocados em sandbox, o que significa que eles operam em seu próprio ambiente restrito e têm acesso limitado aos recursos e dados subjacentes do sistema. Esse isolamento evita que o malware se espalhe facilmente por diferentes partes do sistema.

Assinatura de código e criptografia: os aplicativos iOS precisam ser assinados por um certificado de desenvolvedor emitido pela Apple. Essa assinatura de código garante que apenas desenvolvedores autorizados possam criar e distribuir aplicativos. Além disso, o iOS utiliza fortes medidas de criptografia, dificultando a análise e adulteração do código do aplicativo.

Privilégios de usuário limitados: o iOS restringe os privilégios do usuário, impedindo que os aplicativos acessem áreas confidenciais do dispositivo sem permissão explícita do usuário. Essa limitação reduz o impacto potencial do malware.

Embora o iOS ofereça vários recursos de segurança, é importante observar que nenhum sistema é completamente imune a malware. Houve casos de malware para iOS, mas devido aos fatores mencionados acima, ele tende a ser menos prevalente em comparação com outras plataformas. No entanto, à medida que a tecnologia avança, os criadores de malware se adaptam continuamente e encontram novas maneiras de explorar vulnerabilidades, exigindo medidas de segurança e vigilância contínuas.