L’implant TriangleDB utilis\u00e9 pour cibler les appareils Apple iOS contient au moins quatre modules diff\u00e9rents pour enregistrer le microphone, extraire le trousseau iCloud, voler des donn\u00e9es des bases de donn\u00e9es SQLite utilis\u00e9es par diverses applications et estimer l’emplacement de la victime.<\/p>\n
Les conclusions proviennent de Kaspersky, qui a d\u00e9taill\u00e9 les efforts consid\u00e9rables d\u00e9ploy\u00e9s par l’adversaire derri\u00e8re la campagne, surnomm\u00e9e Op\u00e9ration Triangulation<\/strong>est all\u00e9 dissimuler et brouiller ses traces tout en aspirant clandestinement les informations sensibles des appareils compromis.<\/p>\n L’attaque sophistiqu\u00e9e a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois en juin 2023, lorsqu’il est apparu qu’iOS avait \u00e9t\u00e9 cibl\u00e9 par un exploit z\u00e9ro clic militant puis des failles de s\u00e9curit\u00e9 zero-day (CVE-2023-32434 et CVE-2023-32435) qui exploitent la plate-forme iMessage. pour fournir une pi\u00e8ce jointe malveillante qui peut obtenir un contr\u00f4le total sur l’appareil et les donn\u00e9es utilisateur.<\/p>\n L’ampleur et l’identit\u00e9 de l’auteur de la menace sont actuellement inconnues, bien que Kaspersky lui-m\u00eame soit devenu l’une des cibles au d\u00e9but de l’ann\u00e9e, ce qui l’a incit\u00e9 \u00e0 enqu\u00eater sur les diff\u00e9rents \u00e9l\u00e9ments de ce qu’il a d\u00e9clar\u00e9 dans une menace persistante avanc\u00e9e (APT) compl\u00e8te. plate-forme.<\/p>\n Le c\u0153ur du cadre d’attaque constitue une porte d\u00e9rob\u00e9e appel\u00e9e TriangleDB qui est d\u00e9ploy\u00e9e une fois que les attaquants ont obtenu les privil\u00e8ges root sur l’appareil iOS cible en exploitant CVE-2023-32434, une vuln\u00e9rabilit\u00e9 du noyau qui pourrait \u00eatre exploit\u00e9e pour ex\u00e9cuter du code arbitraire.<\/p>\n D\u00e9sormais, selon la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, le d\u00e9ploiement de l’implant est pr\u00e9c\u00e9d\u00e9 de deux \u00e9tapes de validation, \u00e0 savoir JavaScript Validator et Binary Validator, qui sont ex\u00e9cut\u00e9es pour d\u00e9terminer si l’appareil cible n’est pas associ\u00e9 \u00e0 un environnement de recherche.<\/p>\n “Ces validateurs collectent diverses informations sur l’appareil de la victime et les envoient au serveur C2”, expliquent les chercheurs de Kaspersky Georgy Kucherin, Leonid Bezvershenko et Valentin Pashkov. dit<\/a> dans un rapport technique publi\u00e9 lundi.<\/p>\n “Ces informations sont ensuite utilis\u00e9es pour \u00e9valuer si l’iPhone ou l’iPad qui sera implant\u00e9 avec TriangleDB pourrait \u00eatre un appareil de recherche. En effectuant de telles v\u00e9rifications, les attaquants peuvent s’assurer que leurs exploits zero-day et l’implant ne seront pas br\u00fbl\u00e9s.”<\/p>\n En guise de contexte\u00a0: le point de d\u00e9part de la cha\u00eene d’attaque est une pi\u00e8ce jointe iMessage invisible qu’une victime re\u00e7oit, qui d\u00e9clenche une cha\u00eene d’exploitation sans clic con\u00e7ue pour ouvrir furtivement une URL unique contenant du JavaScript obscurci ainsi qu’une charge utile crypt\u00e9e.<\/p>\n La charge utile est le validateur JavaScript qui, en plus d’effectuer diverses op\u00e9rations arithm\u00e9tiques et de v\u00e9rifier la pr\u00e9sence de l’API Media Source et de WebAssembly, ex\u00e9cute une technique d’empreinte digitale du navigateur appel\u00e9e empreintes digitales sur toile<\/a> en dessinant un triangle jaune sur fond rose avec WebGL et en calculant sa somme de contr\u00f4le.<\/p>\n Les informations collect\u00e9es \u00e0 la suite de cette \u00e9tape sont transmises \u00e0 un serveur distant afin de recevoir, en retour, un malware inconnu de prochaine \u00e9tape. Un Binary Validator est \u00e9galement livr\u00e9 apr\u00e8s une s\u00e9rie d’\u00e9tapes ind\u00e9termin\u00e9es, un fichier binaire Mach-O qui effectue les op\u00e9rations ci-dessous –<\/p>\n “Ce qui est int\u00e9ressant \u00e0 propos de ces actions, c’est que le validateur les impl\u00e9mente \u00e0 la fois pour les syst\u00e8mes iOS et macOS”, ont d\u00e9clar\u00e9 les chercheurs, ajoutant que les r\u00e9sultats des actions susmentionn\u00e9es sont crypt\u00e9s et exfiltr\u00e9s vers un serveur de commande et de contr\u00f4le (C2) pour r\u00e9cup\u00e9rer le Implant TriangleDB.<\/p>\n L’une des toutes premi\u00e8res \u00e9tapes franchies par la porte d\u00e9rob\u00e9e consiste \u00e0 \u00e9tablir une communication avec le serveur C2 et \u00e0 envoyer un battement de c\u0153ur, puis \u00e0 recevoir des commandes qui suppriment le journal des pannes et les fichiers de base de donn\u00e9es afin de masquer la piste m\u00e9dico-l\u00e9gale et d’entraver l’analyse.<\/p>\n Des instructions sont \u00e9galement envoy\u00e9es \u00e0 l’implant pour exfiltrer p\u00e9riodiquement les fichiers du r\u00e9pertoire \/private\/var\/tmp contenant l’emplacement, le trousseau iCloud, les donn\u00e9es li\u00e9es \u00e0 SQL et les donn\u00e9es enregistr\u00e9es par microphone.<\/p>\n Une caract\u00e9ristique notable du module d’enregistrement par microphone est sa capacit\u00e9 \u00e0 suspendre l’enregistrement lorsque l’\u00e9cran de l’appareil est allum\u00e9, indiquant ainsi l’intention de l’acteur malveillant de passer sous le radar.<\/p>\n De plus, le module de surveillance de localisation est orchestr\u00e9 pour utiliser les donn\u00e9es GSM, telles que l’indicatif du pays du mobile (Centre multicompte<\/a>), le code du r\u00e9seau mobile (MNC) et l’indicatif r\u00e9gional de localisation (LAC<\/a>), pour trianguler la position de la victime lorsque les donn\u00e9es GPS ne sont pas disponibles.<\/p>\n “L’adversaire derri\u00e8re Triangulation a pris grand soin d’\u00e9viter d’\u00eatre d\u00e9tect\u00e9”, ont d\u00e9clar\u00e9 les chercheurs. “Les attaquants ont \u00e9galement fait preuve d’une grande compr\u00e9hension des composants internes d’iOS, car ils ont utilis\u00e9 des API priv\u00e9es non document\u00e9es au cours de l’attaque.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Operation-Triangulation-des-experts-decouvrent-des-informations-plus-approfondies-sur.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n