Operation Triangulation inriktar sig på iOS-enheter med ny skadlig programvara

Medan de övervakade nätverkstrafiken för deras dedikerade företags Wi-Fi-nätverk för mobila enheter, upptäckte forskare på Securelist misstänkt aktivitet som härrörde från flera iOS-baserade telefoner. På grund av de inneboende begränsningarna med att inspektera moderna iOS-enheter internt, valde forskare att skapa offline-säkerhetskopior av enheterna i fråga och analyserade dem med hjälp av Mobile Verification Toolkits mvt-ios-verktyg. Genom denna analys avslöjade de bevis på kompromiss, vilket ledde till identifieringen av en kampanj som kallas "Operation Triangulation".

Genom att undersöka säkerhetskopiorna av mobila enheter, som omfattar en partiell kopia av filsystemet, inklusive användardata och tjänstedatabaser, kunde forskarna använda fil- och mapptidsstämplar, såväl som databasposter, för att rekonstruera en grov tidslinje av händelser på den komprometterade enheter. Verktyget mvt-ios underlättade skapandet av en sorterad tidslinjefil som heter "timeline.csv", som liknar supertidslinjerna som används i traditionella digitala kriminaltekniska verktyg.

Genom att utnyttja denna tidslinje har forskare lyckats hitta specifika artefakter som indikerade kompromissen. Denna upptäckt drev deras forskning framåt, så att de kunde beskriva den allmänna sekvensen av infektion enligt följande:

• Den riktade iOS-enheten får ett iMessage som innehåller en exploateringsladdad bilaga.
• Meddelandet utlöser en sårbarhet i enheten, vilket leder till kodexekvering utan någon användarinteraktion.
• Exploateringen fortsätter med att ladda ner flera efterföljande steg från kommando- och kontrollservern (C&C), inklusive utnyttjande av privilegieeskalering.
• Efter framgångsrik exploatering, laddas en fullfjädrad APT-plattform (Advanced Persistent Hot) ned, som fungerar som den slutliga nyttolasten, från C&C-servern.
• Det ursprungliga meddelandet och exploateringsbilagan raderas för att täcka spår.

På grund av operativsystemets begränsningar saknar den skadliga verktygsuppsättningen uthållighet. Följaktligen föreslår tidslinjer för flera enheter möjligheten av återinfektion efter omstart. De tidigaste identifierade spåren av infektion går tillbaka till 2019. Från och med juni 2023 fortsätter attacken att pågå och riktar sig mot enheter som kör iOS 15.7, den senaste versionen i skrivande stund.
Analysen av den slutliga nyttolasten pågår fortfarande. Körs med root-privilegier, implementerar koden en rad kommandon för att samla in system- och användarinformation och kan exekvera godtycklig kod som erhålls som plugin-moduler från C&C-servern.

Det är viktigt att notera att trots att skadlig programvara innehåller specifika kodsegment som är dedikerade till att radera spår av kompromisser, är det fortfarande möjligt att på ett tillförlitligt sätt avgöra om en enhet har äventyrats. Dessutom, om en ny enhet konfigureras genom att migrera användardata från en äldre enhet, kommer iTunes-säkerhetskopian av båda enheterna att innehålla spår av kompromiss med exakta tidsstämplar.

Varför skadlig programvara för iOS-telefoner är svår att dissekera?

Skadlig programvara för iOS-telefoner anses generellt vara svårare att dissekera jämfört med skadlig programvara som riktar sig till andra operativsystem, som Android. Det finns flera anledningar till detta:

Stängt ekosystem: iOS är ett slutet ekosystem, vilket innebär att Apple noggrant kontrollerar hårdvaran, mjukvaran och appdistributionen på sina enheter. Denna stängda karaktär gör det mer utmanande för skadlig programvara att få fotfäste och sprida sig inom systemet.

App Store recensionsprocess: App Store har en strikt granskningsprocess där varje app granskas innan den görs tillgänglig för nedladdning. Denna process hjälper till att förhindra att skadliga appar distribueras brett. Även om detta inte helt eliminerar möjligheten att skadlig programvara glider igenom, ger det ett extra lager av skydd.

Sandboxing: iOS-appar är sandlådor, vilket innebär att de fungerar i sin egen begränsade miljö och har begränsad tillgång till de underliggande systemresurserna och data. Denna isolering förhindrar att skadlig programvara lätt sprids över olika delar av systemet.

Kodsignering och kryptering: iOS-appar måste vara signerade av ett utvecklarcertifikat utfärdat av Apple. Denna kodsignering säkerställer att endast auktoriserade utvecklare kan skapa och distribuera appar. Dessutom använder iOS starka krypteringsåtgärder, vilket gör det svårt att analysera och manipulera appens kod.

Begränsade användarrättigheter: iOS begränsar användarprivilegier, vilket förhindrar appar från att komma åt känsliga delar av enheten utan uttrycklig användartillstånd. Denna begränsning minskar den potentiella effekten av skadlig programvara.

Även om iOS erbjuder flera säkerhetsfunktioner, är det viktigt att notera att inget system är helt immunt mot skadlig programvara. Det har förekommit fall av iOS-skadlig programvara, men på grund av faktorerna som nämns ovan, tenderar det att vara mindre utbrett jämfört med andra plattformar. Men allt eftersom tekniken går framåt anpassar sig skapare av skadlig programvara kontinuerligt och hittar nya sätt att utnyttja sårbarheter, vilket kräver pågående säkerhetsåtgärder och vaksamhet.