Нападот со iPhone Triangulation ја злоупотреби недокументираната хардверска карактеристика

Нападите со шпионски софтвер Operation Triangulation насочени кон уредите на iPhone од 2019 година ги искористија недокументираните функции во чиповите на Apple за да ги заобиколат безбедносните заштити базирани на хардвер.

Ова откритие доаѓа од аналитичарите на „Касперски“, кои во текот на изминатата година го осврнаа инженерството на сложениот синџир на напади, обидувајќи се да ги откријат сите детали што ја поткрепуваат кампањата што првично ја открија во јуни 2023 година.

Откривањето и употребата на нејасни хардверски карактеристики веројатно резервирани за дебагирање и фабричко тестирање за да се извршат напади на шпионски софтвер против корисниците на iPhone сугерираат дека софистициран актер за закани ја водел кампањата.

Покрај тоа, тој претставува одличен пример за тоа зошто потпирањето на безбедноста преку нејасност и тајноста на дизајнот на хардверот или спроведувањето на хардверското тестирање е лажна премиса.

Операција Триангулација

Операцијата Триангулација е spyware campaign targeting Apple iPhone devices користејќи серија од четири пропусти во нула дена. Овие пропусти се поврзани со синџир за да се создаде експлоат со нула клик што им овозможува на напаѓачите да ги подигнат привилегиите и да извршат далечинско извршување на кодот.

Четирите недостатоци што го сочинуваат високософистицираниот синџир на експлоатација и кои работеа на сите верзии на iOS до iOS 16.2 се:

• CVE-2023-41990: ранливост во инструкцијата за фонт ADJUST TrueType што дозволува далечинско извршување на кодот преку злонамерен прилог iMessage.
• CVE-2023-32434: проблем со прелевање на цели броеви во системите за мапирање на меморијата на XNU, овозможувајќи им на напаѓачите широк пристап за читање/запишување до физичката меморија на уредот .
• CVE-2023-32435: Се користи во експлоатацијата на Safari за извршување на кодот на школка како дел од нападот во повеќе фази.
• CVE-2023-38606: Ранливост што користи хардверски MMIO регистри за да го заобиколи слојот за заштита на страници (PPL), преовладувајќи ја безбедносната заштита базирана на хардвер.

Нападите започнуваат со злонамерен прилог на iMessage испратен до целта, додека целиот синџир е со нула клик, што значи дека не бара интеракција од корисникот и не генерира забележителни знаци или траги.

Касперски discovered the attack во рамките на сопствената мрежа, а руската разузнавачка служба (ФСБ) веднаш го обвини Епл за обезбедување на НСА со задна врата против персоналот на руската влада и амбасадата.

Засега, потеклото на нападите останува непознато, а нема докази за овие наводи.

Apple fixed  тогаш препознаените два нула-ден недостатоци (CVE-2023-32434 и CVE-2023-32435) на 21 јуни , 2023 година, со објавувањето на iOS/iPadOS 16.5.1 и iOS/iPadOS 15.7.7.

             Operation Triangulation attack chain (Kaspersky)

Високо софистицирани напади

Од горенаведените недостатоци, CVE-2023-38606, кој беше адресиран на 24 јули 2023 година, со објавувањето на iOS/iPadOS 16.6, е најинтригантна за аналитичарите на Kaspersky.

Искористувањето на пропустот му овозможува на напаѓачот да ја заобиколи хардверската заштита на чиповите на Apple што ги спречува напаѓачите да добијат целосна контрола врз уредот кога ќе добијат пристап за читање и запишување до меморијата на јадрото, што беше постигнато со користење на посебниот пропуст CVE-2023-32434.

Во техничкото запишување длабоко нуркање, Kaspersky објаснува дека CVE-2023-38606 цели на непознати регистри MMIO (мемориски мапирани I/O) во Apple A12-A16 Bionic процесорите, најверојатно поврзани со GPU копроцесорот на чипот. кои не се наведени во DeviceTree.

MIMO ranges targeted in the Triangulation attacks (Kaspersky)

Операцијата Triangulation ги користи овие регистри за да манипулира со хардверските карактеристики и да го контролира директниот пристап до меморијата за време на нападот.

“Ако се обидеме да ја опишеме оваа карактеристика и како напаѓачите ја искористиле, сè се сведува на ова: тие можат да пишуваат податоци на одредена физичка адреса додека ја заобиколуваат заштитата на меморијата базирана на хардвер со запишување на податоците, адресата на дестинацијата и хашот на податоците во непознати хардверски регистри на чипот што не се користи од фирмверот,” објаснува  Kaspersky’s report.

Kaspersky претпоставува дека вклучувањето на оваа недокументирана хардверска карактеристика на готовата верзија на iPhone за корисници е или грешка или е оставено да им помогне на инженерите на Apple при дебагирање и тестирање.

Apple го поправи пропустот со ажурирање на дрвото на уредот за да го ограничи физичкото мапирање на адреси.

Сепак, како напаѓачите на прво место стекнале знаење за таков нејасен механизам што може да се искористи, останува непознато.

Извор: bleepingcomputer