Operação Triangulação

A Operação Triangulação é um ciberataque direcionado a dispositivos iOS, conduzido através da utilização de uma cadeia de quatro vulnerabilidades de dia zero. Divulgado pela primeira vez em junho de 2023, o ataque se destaca por sua complexidade técnica sem precedentes entre os ataques ao iOS. Estima-se um número de milhares de vítimas.

Objetivos do ataque

O objetivo do ataque era espionagem: extrair mensagens e senhas dos dispositivos, gravar conversas e rastrear a geolocalização. O número exato de vítimas é desconhecido devido ao alto nível de furtividade dos invasores. Algumas fontes estimam milhares de vítimas, incluindo organizações comerciais, governamentais e diplomáticas na Rússia, bem como seus representantes no exterior.

Linha cronológica dos eventos

1º de junho de 2023: a Kaspersky anuncia a descoberta de rastros de um novo tipo de malware nos dispositivos iOS de seus funcionários. O malware foi projetado para espionagem e é altamente furtivo, detectado apenas pela troca incomum de dados em iPhones infectados. Os rastros das primeiras infecções encontradas pelos investigadores remontam a 2019. O ataque é chamado de Operação Triangulação.

Uma ferramenta chamada triangle_check é lançada para permitir aos usuários verificarem se seus dispositivos iOS foram comprometidos e determinar se foram vítimas do ataque.

21 de junho de 2023: Kaspersky publica pesquisa sobre o implante TriangleDB usado no ataque.

24 de julho de 2023: a Apple lança atualizações para o iOS 15.x e 16.x, tratando a vulnerabilidade CVE-2023-38606 no kernel do iOS e CVE-2023-41990 no mecanismo de processamento de fontes FontParser. Essas vulnerabilidades também faziam parte da cadeia de infecção da Operação Triangulação.

No mesmo dia, a Apple lança atualizações para o iOS 15.x e 16.x, tratando duas vulnerabilidades exploradas no ataque: CVE-2023-32434 no kernel do iOS e CVE-2023-32435 no mecanismo do navegador WebKit. Essas vulnerabilidades tornaram possível infectar iPhones sem silenciosamente, ignorando os sistemas de segurança do iOS.

23 de outubro de 2023: a Kaspersky publica dados sobre a validação em várias etapas de vítimas em potencial feita pelos invasores. Esse processo de filtragem permite que os invasores ataquem apenas os alvos pretendidos e evitem os pesquisadores de segurança.

26 de outubro de 2023: Um relatório a respeito do processo de investigação da Operação Triangulação e os esforços para identificar todos os componentes da cadeia de infecção é apresentado no Security Analyst Summit.

27 de dezembro de 2023: Um relatório a respeito de toda a cadeia do ataque e as quatro vulnerabilidades usadas nele é apresentado no Chaos Communication Congress, inclusive recursos não documentados dos processadores Apple.

28 de dezembro de 2023: O uso de recursos não documentados dos processadores Apple na Operação Triangulação chega ao conhecimento do hacker Hector Martin, que então compartilha informações conhecidas sobre seus possíveis mecanismos e propósitos.

Detalhes Técnicos

A Operação Triangulação é, em sua complexidade técnica, sem precedentes em se tratando de ataques em iOS: a cadeia de infecção consiste em 14 etapas, explorando quatro vulnerabilidades de dia zero e recursos de hardware não documentados dos processadores Apple. Todos os ataques conhecidos tiveram como alvo versões do iOS até 15.7.x, mas as técnicas são eficazes até no iOS 16.2.

Quando um iMessage especialmente projetado é recebido por um iPhone, o código malicioso é iniciado. Esta mensagem é invisível para o usuário. Dessa forma, componentes adicionais são baixados a partir dos servidores do comando da Operação Triangulação, concedendo altos privilégios no dispositivo e implantando um spyware com amplo acesso ao conteúdo e funções do aparelho.

Infecção do dispositivo

A infecção inicial é passada por meio de um iMessage oculto. O anexo malicioso do iMessage, disfarçado de um .watchface (um design de tela de relógio – na verdade, um arquivo ZIP com um PDF incorporado), executa um código que abre o Safari em segundo plano, e depois carrega os próximos componentes da cadeia de infecção a partir de uma página da web.

A página da web contém um script validador que analisa os parâmetros do smartphone infectado e decide se deve continuar o ataque. A tecnologia Canvas fingerprinting, que desenha um triângulo na página da web, é usada para identificar as vítimas de forma específica. Esse triângulo dá nome a toda a campanha.

Nesses estágios, o ataque explora as vulnerabilidades de dia zero CVE-2023-41990, CVE-2023-32434 e CVE-2023-38606.

Após fazer uma verificação, o script na página da web explora também a vulnerabilidade CVE-2023-32435 e carrega um código binário na memória do dispositivo, obtendo privilégios de administrador e realizando uma verificação mais detalhada do smartphone para verificar sua correspondência aos interesses dos invasores. Este validador binário também exclui rastros do iMessage recebido e carrega o principal componente malicioso, o TriangleDB.

O malware opera apenas na memória do smartphone, sendo apagado após uma reinicialização. Os invasores podem assim reenviar o iMessage e reinfectar o dispositivo.

Recurso Apple não documentado

Para driblar as proteções de memória nas gerações recentes dos processadores Apple (A12–A16), a exploração da vulnerabilidade do kernel CVE-2023-38606 utiliza recursos de hardware não documentados dos processadores.

A exploração grava em registros MMIO, que não são descritos na documentação e não são usados por aplicativos iOS ou pelo próprio sistema operacional. Como resultado, o código de exploração pode modificar a área da memória do kernel do iOS protegida pelo hardware. Pesquisadores da Kaspersky sugeriram que esse mecanismo foi provavelmente criado para depurar o próprio processador.

Alguns especialistas acreditam que "poucas pessoas, ou quase ninguém, fora da Apple e de fornecedores de chips como a ARM Holdings" poderiam saber sobre esse recurso.

Hector Martin descreveu um possível mecanismo de exploração baseado em caches de gravação de memória diretos, o que possibilita contornar os mecanismos de proteção destes em alguns casos.

Funcionalidades do implante TriangleDB

O malware TriangleDB tem uma estrutura modular, desse modo suas funções podem ser estendidas baixando módulos adicionais do servidor.

A versão básica pode fazer upload de arquivos do dispositivo para o servidor dos invasores, extrair dados do gerenciador de senhas keychain, rastrear a geolocalização da vítima e modificar arquivos e processos no smartphone.

Módulos adicionais conhecidos suportam gravação prolongada de microfone (inclusive no modo avião), fazendo consultas aos bancos de dados armazenados no dispositivo e roubando conversas do WhatsApp e do Telegram.

Métodos de detecção e remoção

Bloqueio de atualizações

Um sinal revelador de um smartphone infectado pelo malware  Operação Triangulação é a incapacidade de atualizar o iOS para uma versão mais recente. No entanto, alguns dispositivos infectados continuam a atualizar normalmente.

Análise do backup do iTunes

Rastros da infecção podem ser encontrados nos arquivos do sistema no iPhone. Como esses arquivos não são acessíveis no próprio dispositivo iOS, um backup do iPhone é feito através do iTunes em um computador e depois analisado. A ferramenta triangle_check é usada para análise.

Análise da conexão de rede

O código malicioso da Operação Triangulação estabelece conexões com os servidores dos invasores e uma lista foi disponibilizada ao público.

Removendo a infecção

Para dispositivos completamente comprometidos, os pesquisadores recomendam a seguinte sequência de ações para prevenir uma reinfecção: redefinição de fábrica, desativar o iMessage e atualizar o iOS para uma versão mais recente.

Atribuição do ataque

A Kaspersky não fez nenhuma declaração oficial a respeito da origem do ataque, nem o atribuiu a nenhum grupo hacker ou país.

No entanto, em 1º de junho de 2023, o Serviço Federal de Segurança da Rússia (FSB) emitiu uma nota sobre a descoberta de malware que afeta os telefones celulares da Apple, usando "vulnerabilidades de software fornecidas pelo fabricante". O FSB também acusou diretamente a Apple de colaborar com a NSA. A nota indicou que milhares de telefones foram infectados, incluindo dispositivos fora da Rússia em países da OTAN, no território pós-soviético, em Israel, na Síria e na China.

No mesmo dia, a Apple emitiu uma nota negando tais acusações.

Vale ressaltar que o FSB e a Kaspersky fizeram declarações independentes. No entanto, alguns especialistas acreditam que ambos estão se referindo à Operação Triangulação.

Consequências

A Apple negou publicamente as acusações de colaborar com agências de inteligência para implantar backdoors.

A empresa lançou diversos pacotes de atualização para corrigir as vulnerabilidades do iOS visadas pela Operação Triangulação.

Em julho-agosto de 2023, soube-se que o uso de smartphones e tablets da Apple para fins oficiais foi banido em várias organizações governamentais e comerciais russas, incluindo o Ministério do Desenvolvimento Digital, Ministério da Indústria e Comércio, Ministério dos Transportes, Serviço Tributário Federal e Ferrovias Russas. Mais tarde naquele ano, o Banco Central e o Ministério das Situações de Emergência tomaram a mesma decisão.

Em setembro de 2023, foi descoberto que o governo chinês havia decidido expandir sua proibição ao uso do iPhone para incluir não apenas funcionários do governo, mas também empresas controladas pelo Estado.

Em 2024, o Ministério da Defesa Nacional da Coreia do Sul anunciou a proibição de iPhones por razões de segurança, enquanto os telefones Android não foram proibidos.

Avaliações e recepção do público

O código de exploração na Operação Triangulação tem sido chamado de o mais sofisticado da história.

As características mais notáveis do ataque são o conhecimento dos invasores sobre os recursos não documentados do chip da Apple e o uso de quatro vulnerabilidades de dia zero em um único ataque.

O criptógrafo Bruce Schneier descreveu o ataque como "totalmente insano em sofisticação" e "coisas de estado-nação".

Elon Musk também manifestou interesse na complexidade do ataque e nos possíveis métodos de defesa.