上周蘋果緊急發(fā)布了iOS 9.3.5，修復(fù)了三個0day漏洞，這3個漏洞能讓攻擊者對 全球范圍內(nèi)的iPhone進行監(jiān)聽 。
這三個漏洞被爆出的起因是因為以為阿聯(lián)酋的人權(quán)活動人士在8月10日、11日，分別收到的兩條短信，短信中附有鏈接，短信稱鏈接網(wǎng)站里包含囚犯在阿聯(lián)酋遭受虐待的“新秘密”。實際上這位人權(quán)活動人士對這種包含鏈接的短信已經(jīng)見怪不怪，因此他沒有點擊鏈接，而是立即把短信轉(zhuǎn)發(fā)給了 Lookout和公民實驗室的 研究人員。
Lookout公司的研究人員通過研究發(fā)現(xiàn)，用戶點擊短信內(nèi)的鏈接后，攻擊者就會 利用3個0day漏洞，對用戶手機“遠程越獄”，然后安裝間諜軟件，隨后就能對設(shè)備進行全面控制，還能獲取設(shè)備中的數(shù)據(jù)，通過麥克風(fēng)監(jiān)聽對話，跟蹤即時通訊應(yīng)用的對話內(nèi)容等。Lookout公司把這款惡意軟件命名為 Pegasus，并對其技術(shù)細節(jié)進行了分析。
攻擊過程
Pegasus的可怕之處在于，攻擊過程基本不需要用戶交互，用戶所要做的僅僅是點擊一個鏈接，接著，攻擊者就可以靜默地傳送payload，然后遠程越獄，安裝間諜軟件。用戶唯一能感知到的情況就是點擊鏈接之后，瀏覽器自動關(guān)閉了。間諜軟件中包含惡意代碼、進程和用于監(jiān)控用戶行為并進行反饋的app。這款間諜軟件能夠獲取系統(tǒng)內(nèi)置軟件中的短信、通話記錄、郵件、日志，還有下列app中的信息：
Gmail
Facetime
Line
Mail.Ru
Calendar
Surespot
Tango
Viber
Skype
Telegram
實際上，iOS的安全機制并不允許應(yīng)用相互監(jiān)控，但是可以在越獄的設(shè)備上安裝用戶監(jiān)控的hook。Pegasus就是利用了遠程越獄和hook。Pegasus將它的動態(tài)庫插入到設(shè)備里的針對正規(guī)進程中。這些動態(tài)庫之后就會使用Cydia Mobile Substrate框架去hook應(yīng)用。
簡要來說，攻擊共分為三個階段：
第一階段 ：傳送并利用WebKit漏洞，通過HTML文件利用WebKit中的CVE-2016-4655漏洞。
第二階段 ：越獄。在第一階段中會根據(jù)設(shè)備(32/64位)下載相應(yīng)的，經(jīng)過加密混淆的包。每次下載的包都是用獨一無二的key加密的。軟件包內(nèi)包含針對iOS內(nèi)核兩個漏洞(CVE-2016-4656和CVE-2016-4657)的exp還有一個用來下載解密第三階段軟件包的loader。
第三階段 ：安裝間諜軟件。經(jīng)過了第二階段的越獄，第三階段中，攻擊者會選擇需要監(jiān)聽的軟件，把hook安裝到應(yīng)用中。另外，第三階段還會檢查設(shè)備之前有沒有通過其他方式越獄過，如果有，則會移除之前越獄后開放的系統(tǒng)訪問權(quán)限，如ssh。軟件還有一個“故障保險“，如果檢測到設(shè)備滿足某些條件，軟件就會自毀。
第三階段中，間諜會部署一個test222.tar文件，這是一個tar包，包中包含各種實現(xiàn)各種目的的文件，如實現(xiàn)中間人攻擊的根TLS證書、針對Viber、Whatsapp的嗅探庫、專門用于通話錄音的庫等。
攻擊影響的系統(tǒng)范圍非常廣泛，從iOS 7.0以上直至8月8日發(fā)布的9.3.4都受到波及。
“Trident“漏洞詳情
CVE-2016-4655 : Safari Webkit內(nèi)存損壞.
Safari Webkit中存在一個漏洞，能夠執(zhí)行任意代碼。Pegasus會利用這個漏洞獲取Safari瀏覽器內(nèi)的代碼執(zhí)行權(quán)限。
CVE-2016-4656 : 內(nèi)核信息泄露KASLR保護繞過漏洞
在Pegasus進行越獄之前，它首先得確定內(nèi)存中內(nèi)核的位置。蘋果系統(tǒng)中的KASLR保護就是把內(nèi)核映射到不可預(yù)測的內(nèi)存地址，以起到保護的作用。
但是在這個漏洞中，攻擊者使用一個函數(shù)調(diào)用，這個函數(shù)會在返回值中沒有經(jīng)過混淆的內(nèi)存地址。
CVE-2016-4657 : 內(nèi)核內(nèi)存損壞(用于越獄)
最后這個漏洞用于越獄。漏洞基于內(nèi)存中的內(nèi)存損壞漏洞。針對iOS各版本的不同，exp也各有不同。這個漏洞非常復(fù)雜，因此，Lookout需要進一步研究，之后會發(fā)表更詳細的報告。
越獄過程
• 關(guān)閉內(nèi)核安全保護，關(guān)閉代碼簽名機制
• 重新掛載系統(tǒng)分區(qū)
• 清理Safari緩存(為了清理痕跡)