Google: Dette iPhone-angrepet med null klikk var utrolig og skremmende

0
158

Liam Tung Skrevet av Liam Tung, bidragsyter Liam Tung Liam Tung Bidragsyter

Liam Tung er en australsk forretningsteknologijournalist som bor noen for mange svenske mil nord for Stockholm for hans smak. Han tok en bachelorgrad i økonomi og kunst (kulturstudier) ved Sydneys Macquarie University, men hacket seg (uten norrønt eller ondsinnet kode for den saks skyld) seg inn i en karriere som enterprise tech-, sikkerhets- og telekommunikasjonsjournalist hos ZDNet Australia.

Full bio 16. desember 2021 | Emne: Sikkerhet Cybercrime College: Dark web-kurs lærer wannabe-hackere hvordan de bygger botnett Se nå

Google har forklart hvordan overvåkingsselskapet NSO Group utviklet en utnyttelse som ville tillate brukere av programvaren deres å få tilgang til en iPhone og installer spyware – uten at et mål noen gang klikker på en lenke.

I forrige måned la det amerikanske handelsdepartementet til NSO Group til sin «entitetsliste», og forbød den i stor grad fra amerikanske markeder på grunn av bevis på at den leverte spyware til utenlandske myndigheter som brukte den til å målrette mot myndighetspersoner, journalister, forretningsfolk, aktivister, akademikere, og ambassadearbeidere. I slutten av november søkte Apple om et permanent forføyning som forbyr NSO fra å bruke programvare, tjenester eller enheter.

Nå har Googles Project Zero (GPZ) analysert en relativt ny NSO 'nullklikk'-utnyttelse for iOS 14.7.1 og tidligere, og ansett den som “en av de mest teknisk sofistikerte utnyttelsene vi noen gang har sett”.

< p>SE: Denne mystiske skadevare kan true millioner av rutere og IoT-enheter

GPZs Ian Beer og Samuel Groß beskrev NSOs utnyttelse som både “utrolig” og “skremmende”. Utnyttelsen skaper et “rart” emulert datamaskinmiljø i en komponent av iOS som håndterer GIF-er, men som vanligvis ikke støtter skriptfunksjoner. Denne utnyttelsen lar imidlertid en angriper kjøre JavaScript-lignende kode i den komponenten for å skrive til vilkårlige minneplasseringer – og eksternt hacke en iPhone.

Sikkerhetsforskere ved Canada-baserte Citizen Lab rapporterte feilen til Apple som en del av deres felles forskning med Amnesty International på NSOs Pegasus mobile spyware-pakke, som kan installeres etter bruk av en utnyttelse som jailbreaker en iPhone.< /p>

Apple lappet minnekorrupsjonsfeilen, sporet som CVE-2021-30860, i CoreGraphics-komponenten i iOS 14.8 i september.

Citizen Lab delte også et utvalg av NSOs iMessage-baserte null-klikk-utnyttelse for GPZ-forskere å analysere. Angrepet utnytter koden iMessage bruker for å støtte GIF-bilder.

GPZs Beer og Groß sa at det viste “evnen NSO gir rivaliserende de som tidligere ble antatt å være tilgjengelige for bare en håndfull nasjonalstater”.

Det første inngangspunktet for Pegasus på iPhone er iMessage. Dette betyr at et offer kan bli målrettet bare ved å bruke telefonnummeret eller AppleID-brukernavnet, heter det i rapporten. Selv avanserte brukere som vet at de ikke skal klikke på koblinger, kan bli kompromittert.

Svakheten iMessage avslører kommer via ekstra funksjoner som Apple har aktivert for GIF-bilder. Apple bruker et “falsk gif”-triks” i iOSs ImageIO-bibliotek for å få normale GIF-bilder til å sløyfe uendelig. Dette trikset introduserer også over 20 ekstra bildekodeker, noe som gir angripere en mye større overflate å angripe. 

“NSO bruker “falske gif”-trikset for å målrette mot en sårbarhet i CoreGraphics PDF-parser, forklarer Beer og Groß.

PDF-parseren er et interessant mål. PDF var historisk sett et populært mål for utnyttelse fordi det var kompleks programvare og alle brukte det. Dessuten gjorde Javascript i PDF-er det lettere å utnytte, forklarer de.

Som GPZ-forskerne bemerker: “CoreGraphics PDF-parseren ser ikke ut til å tolke javascript, men NSO klarte å finne noe like kraftig inne i CoreGraphics PDF-parseren…”

NSO fant det kraftige verktøyet i Apples bruk av JBIG2-standarden for å komprimere og dekomprimere bilder. Standarden ble opprinnelig brukt i gamle Xerox-skannere for å effektivt transformere bilder fra papir til PDF-filer på bare noen få kilobyte store.

SE: En vinnende strategi for cybersikkerhet (ZDNet spesialrapport)

Blant flere smarte triks som NSO utviklet, var den emulerte datamaskinarkitekturen som var avhengig av JBIG2-delen av Apples CoreGraphics PDF-parser. Det emulerte datamiljøet tillot dem å skrive til vilkårlige minneadresser med et skriptspråk som ikke er ulikt JavaScript, til tross for at JBIG2 mangler skriptfunksjoner.

“JBIG2 har ikke skriptfunksjoner, men kombinert med en sårbarhet har den muligheten til å emulere kretser av vilkårlige logiske porter som opererer på vilkårlig minne,” forklarer Beer og Groß.

“Så hvorfor ikke bare bruke det til å bygge din egen datamaskinarkitektur og skript det!? Det er akkurat det denne utnyttelsen gjør. Ved å bruke over 70 000 segmentkommandoer som definerer logiske bitoperasjoner, definerer de en liten datamaskinarkitektur med funksjoner som registre og hele 64 -bit adder og komparator som de bruker til å søke i minne og utføre aritmetiske operasjoner. Det er ikke like raskt som Javascript, men det er grunnleggende beregningsmessig ekvivalent.

“Oppstartsoperasjonene for sandbox escape exploit er skrevet for å kjøre på denne logiske kretsen og hele greia kjører i dette rare, emulerte miljøet skapt av en enkelt dekompresjonspassering gjennom en JBIG2-strøm. Det er ganske utrolig, og samtidig ganske skremmende.”

Sikkerhet

Log4j-trussel: Hva du trenger å vite og hvordan du beskytter deg selv Ransomware i 2022: Vi' re all screwed Microsoft Patch Tuesday: Zero-day utnyttet for å spre Emotet malware Kronos rammet med løsepengevare, advarer om datainnbrudd og “flere ukers” utfall De beste VPN-ene for små og hjemmebaserte bedrifter i 2021 Security TV | Data Management | CXO | Datasentre