Operacija Tringulation

Konec lanskega decembra je družba Kaspersky Lab objavila podrobnosti o zelo naprednem napadu na Applove telefone. Poimenovali so jo Operacija Triangulation.

Napad je uporabljal celo verigo ranljivosti, najbolj zanimivo pa je, da so napadalci zlorabljali tudi nedokumentirano funkcijo na strojni opremi iNaprav. Konkretno, ranljivost se je nahajala na Apple A12–A16 Bionic System on Chip (SoC), ki ga sicer proizvaja tajvanski TSMC, ranljivost pa se nahaja v MMIO razhroščevalnih registrih procesorja, ki ga je za Apple razvil ameriški Coresight.

Napad, ki je izredno sofisticiran, je najverjetneje delo državnega akterja. Zanimiva je celotna veriga ranljivosti, ki se je začela s prejemom zlonamerne PDF priloge na iMessage, sledilo je izkoriščanje nedokumentirane kode v pisavi ADJUST TrueType in tako dalje, dokler napadalci niso pridobili popolnega nadzora nad napravo. Vse seveda tim. 0-click, torej brez potrebe po uporabnikovi interakciji.

Kot rečeno je posebej zanimiv napad na nedokumentirano funkcijo na Applovi strojni opremi (SoC), saj je ta napad napadalcem omogočil, da so zaobšli Applove napredne zaščite delovnega pomnilnika telefona. Na kratko, Applova napredna tim. strojna zaščita delovnega pomnilnika (angl. hardware-based memory protection) ščiti napravo tudi v primeru, če napadalec uspešno vdre v telefon. Onemogoča mu namreč, da bi napravo oziroma jedro operacijskega sistema na njej trajno okužil (tim. persistence). Če ta zaščita deluje, napadalec sicer lahko vdre v telefon, vendar nima popolnega dostopa do vseh delov sistema. Pogosto pa taka okužba tudi ne preživi ponovnega zagona telefona, zato nekateri varnostni strokovnjaki uporabnikom svetujejo da telefone vsakodnevno ponovno zaženejo.

No, napadalci iz Operacije Trianglation pa so to zaščito uspeli zaobiti in sicer s pomočjo že omenjene zlorabe nedokumentirane funkcije na Applovi strojni opremi (SoC). Nekateri se zato že sprašujejo ali gre res zgolj za napako ali pa morda kaj drugega. Mimogrede, enaka vrsta zaščite je prisotna tudi v Applovih paradnih procesorjih M1 in M2.

Več zanimivih tehničnih podrobnosti o napadu je objavljenih na blogu Kasperskega.

Za konec pa še zabavna zanimivost. NSO Group Technologies, izraelsko kibernetsko-obveščevalno podjetje, ki je znano predvsem po svoji vohunski programski opremi za mobilne telefone Pegasus, ima v Izraelu trenutno svoje poslovne prostore v isti stolpnici kot Apple. Naj pa dodamo, da Kaspersky zaenkrat ni uspel ugotoviti (ali pa ne želi razkriti) kateri državni akter se sicer skriva za tem sofisticiranim napadom.