Los atacantes de software espía de la “Operación Triangulación” eluden las protecciones de memoria del iPhone

Una característica de hardware previamente no documentada en el sistema en un chip (SoC) del iPhone de Apple permite explotar múltiples vulnerabilidades, lo que en última instancia permite a los atacantes eludir las protecciones de memoria basadas en hardware.

Según a, la vulnerabilidad juega un papel central en la sofisticada campaña de clic cero “Operación Triangulación” de Amenaza Persistente Avanzada (APT). informe del Equipo de Análisis e Investigación Global (GReAT) de Kaspersky.

El Operación Triangulación Campaña de espionaje ciberespionaje iOS existe desde 2019 y ha explotado múltiples vulnerabilidades de día cero para eludir las medidas de seguridad en los iPhone, lo que representa un riesgo continuo para la privacidad y seguridad del usuario. Los objetivos allí incluían a diplomáticos y otros funcionarios rusos, así como a empresas privadas como la propia Kaspersky.

En junio, Kaspersky lanzó uno informe Proporciona detalles adicionales sobre el implante de software espía TriangleDB utilizado en la campaña y destaca numerosas características únicas, como funciones deshabilitadas, que podrían implementarse en el futuro.

Esta semana, el equipo presentó sus últimos hallazgos en el 37º Congreso de Comunicación del Caos en Hamburgo, calificándolo como «la cadena de ataque más sofisticada» que habían visto en la operación hasta la fecha.

El ataque sin clic tiene como objetivo la aplicación iMessage del iPhone y las versiones de iOS hasta iOS 16.2. Cuando se descubrió por primera vez, aprovechó cuatro ataques de día cero con capas de ataque intrincadamente estructuradas.

Como parte del ataque móvil de clic cero “Operación Triangulación”.

El ataque comienza de manera inofensiva cuando actores maliciosos envían un archivo adjunto de iMessage, explotando la vulnerabilidad de ejecución remota de código (RCE). CVE-2023-41990.

Este exploit tiene como objetivo la directiva de fuentes ADJUST TrueType indocumentada exclusiva de Apple, que existe desde principios de la década de 1990 antes de un parche posterior.

Luego, la secuencia de ataque es más profunda, utilizando programación orientada a retorno/salto y etapas del lenguaje de consulta NSExpression/NSPredicate para manipular la biblioteca JavaScriptCore.

Los atacantes incorporaron un exploit de escalada privilegiada en JavaScript y lo ofuscaron cuidadosamente para ocultar su contenido, que incluía aproximadamente 11.000 líneas de código.

Este complicado exploit de JavaScript maniobra a través de la memoria de JavaScriptCore y ejecuta funciones API nativas explotando la función de depuración de JavaScriptCore DollarVM ($vm).

Explotación de una vulnerabilidad de desbordamiento de enteros rastreada como CVE-2023-32434 Dentro de las llamadas al sistema de mapeo de memoria de XNU, los atacantes reciben acceso de lectura/escritura a nivel de usuario sin precedentes a la memoria física del dispositivo.

Además, evitan inteligentemente la capa de protección de página (PPL) utilizando registros de E/S asignadas en memoria de hardware (MMIO), una vulnerabilidad preocupante. explotado como día cero por el grupo Operación Triangulación pero finalmente abordado como CVE-2023-38606 de Apple.

Después de que los atacantes violan las defensas del dispositivo, ejercen un control selectivo iniciando el proceso IMAgent e inyectando una carga útil para eliminar todos los rastros de explotación.

Luego inician un proceso invisible de Safari que se redirige a una página web que contiene la siguiente etapa del exploit.

El sitio web realiza la verificación de la víctima y, si la autenticación es exitosa, activa un exploit de Safari CVE-2023-32435 para ejecutar un código shell.

Este código shell habilita otro exploit del kernel en forma de un archivo objeto Mach y aprovecha dos de los mismos CVE utilizados en fases anteriores (CVE-2023-32434 y CVE-2023-38606).

Una vez que los atacantes obtienen privilegios de root, organizan pasos adicionales y, en última instancia, instalan software espía.

Una complejidad creciente en los ciberataques al iPhone

El informe encontró que el complejo ataque de múltiples etapas exhibe un nivel de sofisticación sin precedentes, explota varias vulnerabilidades en dispositivos iOS y genera preocupación sobre la evolución del panorama de amenazas cibernéticas.

Boris Larin, investigador senior de seguridad de Kaspersky, explica que la nueva vulnerabilidad del hardware puede estar basada en el principio de «seguridad a través de la oscuridad» y puede haber estado destinada a pruebas o depuración.

«Después del ataque inicial de iMessage sin hacer clic y la posterior escalada de privilegios, los atacantes utilizaron la función para eludir las medidas de seguridad basadas en hardware y manipular el contenido de las áreas de almacenamiento protegidas», dice. «Este paso fue crucial para obtener el control total del dispositivo».

Agrega que, hasta donde sabe el equipo de Kaspersky, esta característica no ha sido documentada públicamente y no es utilizada por el firmware, lo que plantea un desafío importante para la detección y el análisis utilizando métodos de seguridad tradicionales.

«Cuando hablamos de dispositivos iOS, es realmente difícil detectar este tipo de ataques debido a la naturaleza cerrada de estos sistemas», afirma Larin. «Los únicos métodos de detección disponibles para esto son realizar análisis del tráfico de red y análisis forense de las copias de seguridad de los dispositivos creadas con iTunes».

Explica que, por el contrario, los sistemas MacOS de sobremesa y portátiles son más abiertos y, por tanto, disponen de métodos de detección más eficaces.

“La instalación es posible en estos dispositivos. Detección y respuesta de terminales (EDR) Soluciones que pueden ayudar a detectar este tipo de ataques”, señala Larin.

Recomienda que los equipos de seguridad actualicen periódicamente su sistema operativo, aplicaciones y software antivirus; corregir todas las vulnerabilidades conocidas; y proporcionar a sus equipos SOC acceso a la información más reciente sobre amenazas.

«Implemente soluciones EDR para detectar, investigar y remediar oportunamente incidentes a nivel de endpoint, reiniciar diariamente para detener infecciones persistentes, deshabilitar iMessage y Facetime para reducir los riesgos de explotación sin hacer clic e instalar» Actualizaciones rápidas de iOS para protegerse contra vulnerabilidades conocidas «, dice Larín, añadió.