Поделиться
«Операция Триангуляция»: как именно кибершпионы собирали данные с iOS
Эксперты «Лаборатории Касперского» выяснили, как атакующие собирали данные жертв в ходе кампании «Операция Триангуляция». Для этого они использовали шпионский имплант, получивший название TriangleDB. Это вредоносное ПО предоставляет злоумышленникам возможности скрытого наблюдения и работает исключительно в памяти устройства, поэтому все следы его работы удаляются при перезагрузке устройства.
Эксперты выяснили, что имплант TriangleDB внедряется после успешной эксплуатации уязвимости ядра для получения привилегий суперпользователя на целевом устройстве iOS. После развертывания он работает исключительно в памяти устройства, поэтому следы заражения исчезают после перезагрузки устройства. Если жертва перезагружает устройство, злоумышленнику необходимо повторно заразить его, отправив заново iMessage с вредоносным вложением. Таким образом весь процесс эксплуатации запускается заново. Если перезагрузка не произойдет, имплант автоматически удалится через 30 дней, если злоумышленники не продлят этот срок. TriangleDB — это сложное шпионское ПО, которое содержит широкий спектр функций по сбору данных и мониторингу.
Всего этот зловред может выполнять 24 команды. Они позволяют злоумышленникам запускать разные процессы, в том числе взаимодействовать с файловой системой устройства (включая создание, изменение, кражу и удаление файлов), управлять процессами (получение списка и их завершение), извлекать элементы связки ключей для сбора учетных данных и вести мониторинг геолокации жертвы.
Анализируя TriangleDB, эксперты «Лаборатории Касперского» обнаружили, что класс CRConfig содержит неиспользуемый метод populateWithFieldsMacOSOnly. Это косвенно указывает на то, что аналогичный имплант может использоваться в атаках на устройства на macOS.
«Анализируя эту атаку, мы обнаружили сложный имплант для iOS, у которого много примечательных особенностей. Мы продолжаем свое исследование и будем держать в курсе наших новых находок об этой сложной атаке. Мы призываем сообщество специалистов по кибербезопасности объединиться для обмена знаниями и сотрудничества, чтобы получить более четкую картину существующих угроз», — сказал Леонид Безвершенко, эксперт по кибербезопасности «Лаборатории Касперского».
Чтобы минимизировать риски целевых кибератак, «Лаборатория Касперского» рекомендует компаниям: для обнаружения, расследования и своевременного устранения инцидентов на уровне конечных точек используйте надежное защитное решение для бизнеса; обновляйте операционную систему Windows и любое стороннее программное обеспечение оперативно и регулярно; предоставьте вашей команде SOC доступ к актуальной информации об угрозах (TI); поскольку многие целевые атаки начинаются с фишинга или других методов социальной инженерии, проводите тренинги по безопасности.
Короткая ссылка
