Rusia señala con el dedo la campaña de explotación de iPhone de EE. UU., que también afectó a Kaspersky Lab

El FSB de Rusia emitió una alerta de seguridad que afirma que las agencias de inteligencia de EE. UU. están detrás de una campaña de ataques que explotan las vulnerabilidades en iOS y comprometen miles de dispositivos iPhone en Rusia, incluidos los que son propiedad de diplomáticos extranjeros. En un informe separado, el proveedor de antivirus ruso Kaspersky Lab dijo que varias docenas de sus empleados senior y la alta gerencia fueron atacados en la operación, aunque la compañía, a diferencia del FSB, no atribuyó el ataque a ningún estado específico.

Según el análisis de dispositivos infectados de la compañía, la operación ha estado funcionando desde al menos 2019 y comienza cuando las víctimas reciben un mensaje invisible a través de la aplicación iMessage con un archivo adjunto que inicia una cadena de explotación y luego se elimina. «La implementación del software espía es completamente sigilosa y no requiere ninguna acción por parte del usuario», dijo Eugene Kaspersky, fundador y director ejecutivo de Kaspersky Lab. una entrada de blog. «El spyware luego transmite silenciosamente información privada a servidores remotos: grabaciones de micrófonos, fotos de mensajería instantánea, geolocalización y datos sobre una variedad de otras actividades realizadas por el propietario del dispositivo infectado».

Operación triangulación

Kaspersky Lab ha denominado a la campaña de vigilancia Operación Triangulación porque el malware utiliza una técnica de huellas dactilares de hardware llamada huellas dactilares de lienzo dibujando un triángulo amarillo en la memoria del dispositivo.

La investigación está en curso, pero hasta ahora los investigadores han determinado que el archivo adjunto engañoso de iMessage, cuando se recibe en el dispositivo, desencadena una vulnerabilidad de ejecución remota de código. El exploit funciona en dispositivos con iOS 15.7 o posterior. Una vez que se implementa la carga útil maliciosa, se evitan futuras actualizaciones.

Después de la explotación inicial, el código de ataque descarga cargas útiles adicionales desde un servidor de comando y control que incluyen explotaciones de escalada de privilegios adicionales para otorgar a los atacantes privilegios de raíz en el dispositivo. La carga útil final es lo que Kaspersky llama una plataforma APT con todas las funciones.

«El análisis de la carga útil final está en curso», dijeron los investigadores. su informe tecnico. «El código se ejecuta con privilegios de root, implementa un conjunto de comandos para recopilar información del usuario y del sistema, y ​​puede ejecutar cualquier código descargado como módulos de complemento del servidor C&C».