bk99.de entertain the web since 1997

bk99.de
CCC · SicherheitKuratiert

Operation Triangulation: Fünf Lücken bis zur iPhone-Überwachung

Zusammenfassung

oct0xor, kucher1n und bzvr_ rekonstruieren eine mehrstufige iOS-Zero-Click-Kette, die vier Zero-Days und eine undokumentierte Hardwarefunktion verband. Die Kette verwendete fünf Schwachstellen, darunter vier Zero-Days.

Ideen

  • Eine manipulierte iMessage startete die Angriffskette ohne Aktion des Opfers.
  • Mehrere Exploits überwanden nacheinander Parser, Sandbox, Kernel und Hardwareschutz.
  • Undokumentierte Prozessorfunktionen können Angreifern unbekannte Fähigkeiten bereitstellen.
  • Eigene betroffene Geräte ermöglichten die Aufzeichnung sämtlicher Angriffsstufen.
  • Jahrelange Tarnung verlangt sorgfältige Telemetrie und unabhängige forensische Werkzeuge.
  • Ein vollständiger Exploitpfad ist wertvoller als die isolierte Betrachtung einzelner Lücken.

Einsichten

  • Plattformintegration vergrößert Verteidigungskraft und mögliche Verkettungstiefe zugleich.
  • Undokumentierte Hardware untergräbt öffentliche Prüfung selbst bei gut erforschtem Betriebssystemcode.
  • Ein Angriff auf Forscher kann unbeabsichtigt seine gesamte Werkzeugkette offenlegen.

Zitate

  • This is the story of the most sophisticated attack chain and spyware ever discovered by Kaspersky. (Vortragsbeschreibung)

Gewohnheiten

  • Das Team sicherte infizierte Geräte und analysierte jede Stufe getrennt über mehrere Monate.

Fakten

  • Die Analyse führte zur Behebung von vier zuvor unbekannten Schwachstellen.

Referenzen

  • CCC: Operation Triangulation
  • Kaspersky: Arbeitgeber der betroffenen Forscher und veröffentlichende Organisation.
  • iMessage und WebKit: frühe Stufen der Angriffskette.

Kritik

  • Kasperskys Superlativ zur Komplexität ist eine eigene Bewertung und kein objektives Ranking.
  • Die Präsentation konnte Herkunft und Zweck der undokumentierten Hardwarefunktion nicht abschließend erklären.

Bemerkungen

  • Der Vortrag dokumentiert ungewöhnlich viele Stufen einer real eingesetzten Zero-Click-Kette.
  • Die frühesten gefundenen Spuren der Kampagne reichten mehrere Jahre zurück.

Empfehlungen

  • Trenne hochriskante Kommunikation von besonders wertvollen Administrationszugängen.
  • Sammle mobile Netz- und Systemindikatoren datensparsam für forensische Vergleiche.
  • Aktualisiere mobile Betriebssysteme zeitnah und ersetze nicht mehr versorgte Geräte.

Vortrag ansehen

Im Webarchiv suchen

CCC · 2022

Linux-Sicherheitsmonitoring mit Audit-Events

Hilko Bengen zeigt, wie Linux auditd feingranulare Hostereignisse liefert und wie sich das sperrige Format mit vertretbarem Aufwand für Angriffserkennung nutzbar machen lässt.