Dic 29, 2023 Marina Londei Hacking, In evidenza, News, Vulnerabilità 0

Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto una vulnerabilità nel System on a Chip (SoC) di Apple che è stata fondamentale nei recenti attacchi di Operation Triangulation. 

La campagna, scoperta dai ricercatori di Kaspersky, sfruttava quattro vulnerabilità zero-day per distribuire un malware che non necessitava dell’interazione utente per essere eseguito.

Ora il team della compagnia di sicurezza ha scoperto un’ulteriore vulnerabilità sfruttata dagli attaccanti, una funzionalità hardware che sembra fosse destinata solo al test o al debug. Dopo l’attacco iniziale a iMessage e successiva escalation dei privilegi, gli attaccanti hanno sfruttato la funzione per aggirare le protezioni di sicurezza basate su hardware e manipolare il contenuto delle aree di memoria protette, ottenendo in questo modo il controllo totale del dispositivo.

Credits: dontree- Depositphotos

Poiché questa funzionalità non è stata documentata pubblicamente, è stato molto difficile rilevarla coi metodi di sicurezza convenzionali. Il GReAT si è occupato di un meticoloso reverse engineering, analizzando l’integrazione tra hardware e software dell’iPhone e in particolare gli indirizzi Memory-Mapped I/O (MMIO) utilizzati per facilitare la comunicazione tra la CPU e i dispositivi periferici del sistema.

Gli attaccanti hanno utilizzato indirizzi MMIO sconosciuti e difficili da identificare, tanto che il team di Kaspersky ha dovuto analizzare a fondo il funzionamento del SoC e l’interazione col sistema operativo per comprendere la gestione della memoria e i meccanismi di protezione, nel tentativo di trovare qualsiasi riferimento agli indirizzi.

“Non si tratta di una vulnerabilità ordinaria e, a causa della natura chiusa dell’ecosistema iOS, il processo di scoperta è stato impegnativo e ha richiesto una comprensione completa delle architetture hardware e software. Questa scoperta ci insegna ancora una volta che anche le protezioni avanzate basate sull’hardware possono essere rese inefficaci di fronte a un aggressore sofisticato, in particolare quando esistono caratteristiche hardware che consentono di bypassare queste protezioni” ha spiegato Boris Larin, Principal Security Researcher del GReAT di Kaspersky.

Operation Triangulation è attiva dal 2019, quindi è probabile che la vulnerabilità sia stata utilizzata per quattro anni prima di essere individuata dal team di Kaspersky. Apple ha risolto il bug e ha invitato gli utenti con iPhone vulnerabili ad aggiornare il prima possibile i dispositivi.