Sikkerhetsforskere fra Kaspersky Lab kunne onsdag presentere detaljer om en hemmelig cyberoperasjon som de har gitt navnet «Operation Triangulation». De som står bak operasjonen har kunnet ta full kontroll over både helt nye og eldre Iphone-modeller ved å benytte en svært avansert angrepskjede som utnytter i alt fire nulldagssårbarheter, hvorav den ene er maskinvarebasert.
Apple har i løpet av høsten fjernet eller redusert mulighetene for utnyttelse av alle de fire sårbarhetene, ikke bare i Iphones operativsystem, IOS, men også i Apple øvrige operativsystemer. I alle fall én av sårbarhetene (CVE-2023-41990) fantes i en TrueType-font-instruksjon, som skal ha eksistert i Apple-operativsystemer siden tidlig på 1990-tallet.
Omgikk maskinvarebasert beskyttelse
Det er likevel en annen sårbarhet som får mest oppmerksomhet, både i sikkerhetsforskernes presentasjon og hos blant annet Ars Technica, som var tidlig ute med å omtale funnene.
Denne sårbarheten (CVE-2023-32434) gjør det nemlig mulig å omgå en maskinvarebasert funksjon som beskytter visse områder av kernel-minnet, en beskyttelse som bare finnes i Apples egne systembrikker. Dette har gjort det mulig å endre visse sensitive kernel-tilstander i systemet.
Omgåelsen av beskyttelsesfunksjonen skal ha vært mulig fordi brikkene har udokumenterte maskinvareregistre som ikke benyttes av fastvaren til enhetene. Sikkerhetsforskerne tror at registrene enten har blitt lagt til brikkene ved en feil eller er ment for intern testing eller debugging hos Apple.
Full rot-tilgang
Dette, kombinert med de andre sårbarhetene, har gjort det mulig for angriperne å få full rot-tilgang til systemet ved bare å sende offeret en spesielt utformet PDF-fil som vedlegg i IMessage. Ifølge sikkerhetsforskerne ble denne filen prosessert av IMessage-appen uten at brukerne merker noe til det.
Men som illustrasjonen i toppen av saken viser, er det mange ledd i angrepskjeden som må utføres fra PDF-filen mottas og til at angriperne oppnår den ønskede tilgangen.
Presentasjonen til sikkerhetsforskerne ble gjort under 37th Chaos Communication Congress i Hamburg. Ars Technica, som har vært i kontakt med sikkerhetsforskerne, skriver at angrepene har pågått i fire år. Det uvisst nøyaktig hvem som har vært målet for angrepene, hvem som står bak, hvor mange som har blitt angrepet og hva som har blitt oppnådd. Men gitt egenskapene til angrepskjeden, er sannsynligheten høy for at mange av angrepene har vært vellykkede.
Viktig erfaring
– Dette er ingen ordinær sårbarhet, sa den ene av de russiske sikkerhetsforskerne, Boris Larin, under en pressekonferanse onsdag, ifølge Ars Technica.
– På grunn av IOS-økosystemets lukkede natur, var oppdagelsesprosessen både utfordrende og tidskrevende. Det krevde omfattende forståelse av både maskin- og programvarearkitekturene. Det denne oppdagelsen på nytt forteller oss, er at selv avanserte, maskinvarebaserte beskyttelser kan gjøres ineffektive i møte med en sofistikert angriper, spesielt når det finnes maskinvarefunksjonalitet som gjør det mulig å omgå disse beskyttelsene, fortsatte Larin.
Alle sårbarhetene som ble benyttet i «Operation Triangulation», har altså blitt fjernet fra nyere Apple-enheter. Eldre enheter som ikke lenger mottar sikkerhetsoppdateringer, vil kan fortsatt være sårbare for lignende angrep.
Sikkerhetsforskerne er ennå ikke helt ferdige med analysen av hele angrepskjeden, men lover å komme tilbake i 2024 med detaljert beskrivelse av hver av sårbarhetene og hvordan de har blitt utnyttet.
Superavansert «hack» kan ha gitt angripere full Iphone-tilgang i flere år - digi.no
Read More
No comments:
Post a Comment