Касперський розкриває інформацію про програмне забезпечення, яке атакує пристрої iOS

СГГПО 30 червня 2023 р., 15:12

Після повідомлень про кампанію «Операція «Тріангуляція», спрямовану на пристрої iOS, експерти «Лабораторії Касперського» пролили світло на деталі шпигунського програмного забезпечення, яке використовувалося в атаці.

Шкідливе програмне забезпечення TriangleDB атакувало пристрої iOS

Нещодавно Kaspersky повідомив про нову мобільну APT-кампанію (Advanced Persistent Threat), спрямовану на пристрої iOS через iMessage. Після шестимісячного розслідування дослідники Kaspersky опублікували поглиблений аналіз ланцюжка експлойтів та детальні результати зараження шпигунським програмним забезпеченням.

Програмне забезпечення під назвою TriangleDB розгортається шляхом використання вразливості для отримання root-доступу на пристроях iOS. Після запуску воно працює лише в пам'яті пристрою, тому сліди зараження зникають після перезавантаження пристрою. Тож, якщо жертва перезавантажить пристрій, зловмиснику потрібно повторно заразити його, надіславши ще одне iMessage зі шкідливим вкладенням, запускаючи весь процес експлойту заново.

Якщо пристрій не перезавантажити, програмне забезпечення автоматично видалиться через 30 днів, якщо зловмисники не продовжать цей період. Діючи як складне шпигунське програмне забезпечення, TriangleDB виконує різноманітні функції збору та моніторингу даних.

Програмне забезпечення містить 24 команди з різноманітними функціями. Ці команди виконують різні функції, такі як взаємодія з файловою системою пристрою (включаючи створення, зміну, вилучення та видалення файлів), керування процесами (перегляд та завершення), вилучення рядків для збору облікових даних жертви та моніторинг географічного розташування жертви.

Під час аналізу TriangleDB експерти Kaspersky виявили, що клас CRConfig містить невикористаний метод під назвою populateWithFieldsMacOSOnly. Хоча він не використовується в зараженні iOS, його наявність свідчить про здатність атакувати пристрої macOS.

Kaspersky рекомендує користувачам вжити таких заходів, щоб уникнути потрапляння під вплив цілеспрямованих атак: Для захисту кінцевих точок, розслідування та своєчасного реагування використовуйте надійне корпоративне рішення для безпеки, таке як Kaspersky Unified Monitoring and Analysis Platform (KUMA); Оновлюйте операційні системи Microsoft Windows та програмне забезпечення сторонніх виробників якомога швидше та регулярно; Надавайте командам SOC доступ до найновішої інформації про загрози (TI). Kaspersky Threat Intelligence – це просте джерело доступу до корпоративної TI, яке надає дані, інформацію та звіти про кібератаки від Kaspersky за 20 років; Оснащуйте команди кібербезпеки для боротьби з найновішими цілеспрямованими загрозами за допомогою онлайн-навчання Kaspersky, розробленого експертами GreAT; Оскільки багато цілеспрямованих атак починаються з фішингу або тактики соціальної інженерії, надавайте співробітникам компанії навчання з підвищення обізнаності та навичок безпеки, таке як Kaspersky Automated Security Awareness Platform…

«Заглиблюючись у суть атаки, ми виявили, що ця складна інфекція iOS мала кілька дивних особливостей. Ми продовжуємо аналізувати кампанію та будемо тримати всіх в курсі подій, коли дізнаємося більше про цю складну атаку. Ми закликаємо спільноту кібербезпеки ділитися знаннями та співпрацювати, щоб отримати чіткіше уявлення про існуючі загрози», – сказав Георгій Кучерін, експерт з безпеки Глобальної дослідницької та аналітичної команди Kaspersky.

Джерело