El implante TriangleDB utilizado para apuntar a dispositivos Apple iOS incluye al menos cuatro m\u00f3dulos diferentes para grabar el micr\u00f3fono, extraer el llavero de iCloud, robar datos de las bases de datos SQLite utilizadas por varias aplicaciones y estimar la ubicaci\u00f3n de la v\u00edctima.<\/p>\n
Los hallazgos provienen de Kaspersky, que detall\u00f3 los grandes esfuerzos del adversario detr\u00e1s de la campa\u00f1a, denominada Operaci\u00f3n Triangulaci\u00f3n<\/strong>fue a ocultar y cubrir sus huellas mientras aspiraba clandestinamente informaci\u00f3n confidencial de los dispositivos comprometidos.<\/p>\n El sofisticado ataque sali\u00f3 a la luz por primera vez en junio de 2023, cuando se supo que iOS hab\u00eda sido objetivo de un exploit de clic cero que aprovechaba las fallas de seguridad de d\u00eda cero (CVE-2023-32434 y CVE-2023-32435) que aprovecha la plataforma iMessage. para entregar un archivo adjunto malicioso que puede obtener control total sobre el dispositivo y los datos del usuario.<\/p>\n Actualmente se desconoce la escala y la identidad del actor de la amenaza, aunque el propio Kaspersky se convirti\u00f3 en uno de los objetivos a principios de a\u00f1o, lo que lo llev\u00f3 a investigar los diversos componentes de lo que dec\u00eda en una amenaza persistente avanzada (APT) con todas las funciones. plataforma.<\/p>\n El n\u00facleo del marco de ataque constituye una puerta trasera llamada TriangleDB que se implementa despu\u00e9s de que los atacantes obtienen privilegios de root en el dispositivo iOS objetivo mediante la explotaci\u00f3n de CVE-2023-32434, una vulnerabilidad del kernel de la que se podr\u00eda abusar para ejecutar c\u00f3digo arbitrario.<\/p>\n Ahora, seg\u00fan la empresa rusa de ciberseguridad, el despliegue del implante est\u00e1 precedido por dos etapas de validaci\u00f3n, a saber, el validador JavaScript y el validador binario, que se ejecutan para determinar si el dispositivo objetivo no est\u00e1 asociado con un entorno de investigaci\u00f3n.<\/p>\n “Estos validadores recopilan informaci\u00f3n diversa sobre el dispositivo de la v\u00edctima y la env\u00edan al servidor C2”, dijeron los investigadores de Kaspersky Georgy Kucherin, Leonid Bezvershenko y Valentin Pashkov. dicho<\/a> en un informe t\u00e9cnico publicado el lunes.<\/p>\n “Esta informaci\u00f3n se utiliza luego para evaluar si el iPhone o iPad al que se le implantar\u00e1 TriangleDB podr\u00eda ser un dispositivo de investigaci\u00f3n. Al realizar tales comprobaciones, los atacantes pueden asegurarse de que sus exploits de d\u00eda cero y el implante no se quemen”.<\/p>\n A modo de contexto: el punto de partida de la cadena de ataque es un archivo adjunto invisible de iMessage que recibe la v\u00edctima, que desencadena una cadena de explotaci\u00f3n sin clic dise\u00f1ada para abrir sigilosamente una URL \u00fanica que contiene JavaScript ofuscado y una carga \u00fatil cifrada.<\/p>\n La carga \u00fatil es el validador de JavaScript que, adem\u00e1s de realizar varias operaciones aritm\u00e9ticas y verificar la presencia de Media Source API y WebAssembly, realiza una t\u00e9cnica de toma de huellas digitales del navegador llamada huellas digitales en lienzo<\/a> dibujando un tri\u00e1ngulo amarillo sobre un fondo rosa con WebGL y calculando su suma de comprobaci\u00f3n.<\/p>\n La informaci\u00f3n recopilada tras este paso se transmite a un servidor remoto para recibir, a cambio, un malware desconocido de siguiente etapa. Tambi\u00e9n se entrega despu\u00e9s de una serie de pasos indeterminados un Validador binario, un archivo binario Mach-O que lleva a cabo las siguientes operaciones:<\/p>\n “Lo interesante de estas acciones es que el validador las implementa tanto para sistemas iOS como macOS”, dijeron los investigadores, y agregaron que los resultados de las acciones antes mencionadas se cifran y se exfiltran a un servidor de comando y control (C2) para recuperar el Implante TriangleDB.<\/p>\n Uno de los primeros pasos que toma la puerta trasera es establecer comunicaci\u00f3n con el servidor C2 y enviar un latido, recibiendo posteriormente comandos que eliminan el registro de fallas y los archivos de la base de datos para cubrir el rastro forense y obstaculizar el an\u00e1lisis.<\/p>\n Tambi\u00e9n se env\u00edan al implante instrucciones para extraer peri\u00f3dicamente archivos del directorio \/private\/var\/tmp que contienen ubicaci\u00f3n, llavero de iCloud, datos relacionados con SQL y grabados con micr\u00f3fono.<\/p>\n Una caracter\u00edstica notable del m\u00f3dulo de grabaci\u00f3n del micr\u00f3fono es su capacidad de suspender la grabaci\u00f3n cuando la pantalla del dispositivo est\u00e1 encendida, lo que indica la intenci\u00f3n del actor de la amenaza de pasar desapercibido.<\/p>\n Es m\u00e1s, el m\u00f3dulo de monitoreo de ubicaci\u00f3n est\u00e1 dise\u00f1ado para utilizar datos GSM, como el c\u00f3digo de pa\u00eds m\u00f3vil (MCC<\/a>), c\u00f3digo de red m\u00f3vil (MNC) y c\u00f3digo de \u00e1rea de ubicaci\u00f3n (LACA<\/a>), para triangular la ubicaci\u00f3n de la v\u00edctima cuando los datos del GPS no est\u00e1n disponibles.<\/p>\n “El adversario detr\u00e1s de la Triangulaci\u00f3n tuvo mucho cuidado para evitar ser detectado”, dijeron los investigadores. “Los atacantes tambi\u00e9n demostraron un gran conocimiento de los aspectos internos de iOS, ya que utilizaron API privadas no documentadas en el curso del ataque”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Ataques-de-dia-cero-en-iOS-los-expertos-descubren-conocimientos.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n