Ujawnienie szeregu trwających ataków na iPhone’y przez rosyjską firmę zajmującą się cyberbezpieczeństwem Kaspersky, ujawniło operację Triangulation. Kampania wykorzystuje m.in iOS wada i iMessage metody zerowego kliknięcia w celu zainstalowania złośliwego oprogramowania bez konieczności zaangażowania użytkownika.
Starając się przeciwdziałać temu zagrożeniu, Kaspersky nazwał operację „Operacja Triangulacja” i zaprasza każdego, kto ma wiedzę, do wystąpienia i współpracy z nimi.
Ten artykuł omawia specyfikę kampanii, jej wyniki oraz zarzuty wysunięte przez rosyjską agencję wywiadu i bezpieczeństwa FSB.
Operacja Triangulation wykorzystuje lukę w systemie iOS
Śledztwo przeprowadzone przez firmę Kaspersky wskazuje na to zero kliknięć w iMessage ataków wykorzystywanych przez hakerów w celu wykorzystania luki w zabezpieczeniach systemu iOS zakończyło się sukcesem iPhone’y połączone z ich siecią.
Metody te umożliwiają dystrybucję szkodliwego kodu do urządzeń bez angażowania użytkownika. Wykorzystując tę lukę, osoby atakujące mogą potajemnie pobrać więcej złośliwego oprogramowania ze swoich serwerów.
Nawet jeśli oryginalna wiadomość i załącznik są szybko usuniętepozostawiony zostaje ukryty ładunek z prawami roota, co daje atakującym możliwość gromadzenia prywatnych danych, wydawania zdalnych poleceń i utrzymywania trwałości.
Trojan jest dokładnie analizowany w ramach operacji Triangulation
Kaspersky używany mobilnyWeryfikacja Zestaw narzędzi do bardzo szczegółowej analizy wirusa w celu przezwyciężenia trudności przedstawionych przez iOS architektura zamknięta. Dzięki wygenerowaniu kopii zapasowych systemu plików zaatakowanych iPhone’ów odkryto ważne szczegóły dotyczące procedury ataku i działania wirusa.
Wskaźniki infekcji nadal istnieją, pomimo prób złośliwego oprogramowania w celu usunięcia dowodów na jego obecność. Należą do nich przestarzałe wstrzykiwanie bibliotek, zmiany w plikach systemowych, które uniemożliwiają instalację aktualizacji iOS oraz nietypowe wzorce zużycia danych.
Objawy zakażenia po raz pierwszy zauważono w r 2019, zgodnie z dalszą analizą zebranych danych. Szczególnie, iOS 15.7 była najnowsza wersja iOS być celem tego złośliwego zestawu narzędzi iOS 16.5 była ostatnią ważną aktualizacją w czasie badań. Ważne jest, aby pamiętać o tym później iOS aktualizacje mogły naprawić lukę wykorzystywaną w tych atakach, zmniejszając zagrożenie dla urządzeń z najnowszymi wersjami.
Witryny powiązane ze szkodliwymi zachowaniami
Lista 15 domen powiązanych z operacją Operation Triangulation została udostępniona administratorom bezpieczeństwa przez firmę Kaspersky. Administratorzy są w stanie wykryć wszelkie nadużycia na swoich urządzeniach, przeglądając stare dzienniki DNS.
Gdy tylko złośliwe oprogramowanie uzyska większy dostęp, pobiera pełny zestaw narzędzi, który daje atakującym kontrolę nad wykonywaniem instrukcji, gromadzeniem danych użytkownika i systemu oraz pobieraniem dalszych modułów z serwera dowodzenia i kontroli (C2) .
Należy zwrócić uwagę na brak możliwości utrwalania w zestawie narzędzi APT wykorzystywanym w tych atakach. Dlatego szybkie ponowne uruchomienie urządzenia skutecznie zatrzymuje aktywność złośliwego oprogramowania. Konkretnych informacji dotyczących możliwości złośliwego oprogramowania jest wciąż niewiele, ponieważ badanie ostatecznej zawartości wciąż trwa.
Rosja obciąża USA
W związku z ustaleniami firmy Kaspersky, oskarżenia o współpracę między Apple a NSA zostały dokonane przez rosyjską agencję wywiadu i bezpieczeństwa FSB. Według FSBApple świadomie przekazał NSA backdoor, umożliwiający NSA infekowanie rosyjskich iPhone’ów złośliwym oprogramowaniem.
Ponadto twierdzą, że kilka zhakowanych urządzeń należało do pracowników różnych ambasad i członków rosyjskiego rządu. The FSB nie przedstawił jednak żadnych twardych danych na poparcie tych twierdzeń.
Państwo rosyjskie wcześniej zachęcało swoją administrację prezydencką i personel rządowy do zaprzestania używania iPhone’ów firmy Apple i trzymania się z daleka od sprzętu wyprodukowanego w Ameryce. Potwierdzono skutki ataków na moskiewską kwaterę główną firmy Kaspersky i jej międzynarodowy personel.
Jednak firma wyjaśniła, że ponieważ nie ma dostępu do rządowych informacji technicznych z dochodzenia, nie jest w stanie potwierdzić bezpośredniego związku między swoimi wynikami a raportem FSB. Jednak rosyjski CERT wydał ostrzeżenie, które wiąże twierdzenie FSB z wynikami firmy Kaspersky.
Interesujesz się cyberbezpieczeństwem? W takim razie powinieneś zapoznać się z naszym artykułem Rola cyberbezpieczeństwa w zgodności.
