Apple iOS 'Zero Interaction' iPhone-sårbarheter upptäcktes och avlägsnades av Googles säkerhetsforskare från Project Zero

Apple iOS, standardoperativsystemet för alla iPhones, innehöll sex kritiska "Zero Interaction" -problem. Googles elit "Project Zero" -team, som jagar efter allvarliga buggar och programvarufel, upptäckte detsamma. Intressant nog har Googles säkerhetsforskningsteam framgångsrikt replikerat de åtgärder som kan utföras med hjälp av säkerhetsfel i naturen. Dessa buggar kan eventuellt göra det möjligt för alla fjärranfallare att ta administrativ kontroll över Apple iPhone utan att användaren behöver göra något annat än att ta emot och öppna ett meddelande.

Apple iPhone-operativsystemversioner före iOS 12.4 visade sig vara mottagliga för sex ”interaktionsfria” säkerhetsfel, upptäckte Google. Två medlemmar av Google Project Zero har publicerat detaljer och till och med framgångsrikt demonstrerat Proof-of-Concept för fem av de sex sårbarheterna. Säkerhetsfel kan betraktas som ganska allvarliga helt enkelt för att de kräver minst möjliga åtgärder som utförs av det potentiella offret för att äventyra iPhones säkerhet. Säkerhetsproblemet påverkar iOS-operativsystemet och kan utnyttjas via iMessage-klienten.

Google följer 'Ansvarsfull praxis' och informerar Apple om de allvarliga säkerhetsfel i iPhone iOS:

Google kommer att avslöja detaljer om säkerhetsproblemen i Apple iPhone iOS på Black Hat-säkerhetskonferensen i Las Vegas nästa vecka. Sökjätten behöll dock sin ansvarsfulla praxis att varna respektive företag om säkerhetshål eller bakdörrar och rapporterade först problemen till Apple för att låta det utfärda patchar innan teamet avslöjade detaljerna offentligt.

Med hänsyn till de allvarliga säkerhetsfelen, rusade Apple enligt uppgift för att lappa upp felen. Men det kanske inte har lyckats helt. Detaljer om en av de "interaktionsfria" sårbarheterna har hållits privata eftersom Apple inte helt löste felet. Informationen om detta erbjöds av Natalie Silvanovich, en av de två Google Project Zero-forskarna som hittade och rapporterade buggarna.

Forskaren noterade också att fyra av de sex säkerhetsfelen kunde leda till körning av skadlig kod på en fjärransluten iOS-enhet. Vad som är ännu mer angeläget är det faktum att dessa buggar inte behövde någon användarinteraktion. Angriparna måste bara skicka ett specifikt kodat felaktigt meddelande till offrets telefon. Den skadliga koden kan sedan enkelt köra sig själv efter att användaren öppnat meddelandet för att visa det mottagna objektet. De andra två exploaterna kan göra det möjligt för en angripare att läcka data från en enhets minne och läsa filer från en fjärrenhet. Överraskande nog behövde inte ens dessa buggar användarinteraktion.

Apple kunde lyckas korrigera endast fem av de sex säkerhetsproblemen i 'Zero Interaction' i iPhone iOS?

Alla sex säkerhetsfel skulle ha lyckats lappas förra veckan, den 22 juli, med Apples iOS 12.4-release. Men det verkar inte vara fallet. Säkerhetsforskaren har noterat att Apple bara lyckats fixa fem av de sex säkerhetsproblemen "Zero Interaction" i iPhone iOS. Ändå finns information om de fem buggarna som lappats tillgängliga online. Google har erbjudit detsamma genom sitt felrapporteringssystem.

De tre buggarna som tillät fjärrkörning och gav administrativ kontroll av offrets iPhone är CVE-2019-8647, CVE-2019-8660 och CVE-2019-8662. De länkade buggrapporterna innehåller inte bara tekniska detaljer om varje bugg utan också proof-of-concept-kod som kan användas för att skapa exploateringar. Eftersom Apple inte har lyckats korrigera den fjärde buggen från den här kategorin har detaljer om densamma hållits konfidentiella. Google har taggat denna säkerhetsproblem som CVE-2019-8641.

Google har taggat den femte och sjätte buggen som CVE-2019-8624 och CVE-2019-8646. Dessa säkerhetsfel kan potentiellt tillåta en angripare att utnyttja offrets privata information. Dessa är särskilt oroande eftersom de kan läcka data från en enhets minne och läsa filer från en fjärrenhet utan att behöva någon interaktion från offret.

Med iOS 12.4 kan Apple ha lyckats blockera alla försök att fjärrstyra iPhones via den sårbara iMessage-plattformen. Förekomsten och den öppna tillgängligheten av proof-of-concept-kod betyder dock att hackare eller skadliga kodare fortfarande kan utnyttja iPhones som inte har uppdaterats till iOS 12.4. Med andra ord, även om det alltid rekommenderas att installera säkerhetsuppdateringar så snart de blir tillgängliga, är det i det här fallet viktigt att installera den senaste iOS-uppdateringen som Apple har släppt utan dröjsmål. Många hackare försöker utnyttja sårbarheter även efter att de har patchats eller fixats. Detta beror på att de är väl medvetna om att det finns en hög andel av enhetsägare som inte uppdaterar snabbt eller helt enkelt försenar uppdateringen av sina enheter.

Allvarliga säkerhetsfel i iPhone iOS är ganska lukrativa och ekonomiskt givande på det mörka nätet:

De sex säkerhetsproblemen "Zero Interaction" upptäcktes av Silvanovich och andra Google Project Zero säkerhetsforskare Samuel Groß. Silvanovich kommer att hålla en presentation om avlägsna och "Interaktionslösa" iPhone-sårbarheter vid Black Hat-säkerhetskonferensen som planeras äga rum i Las Vegas nästa vecka.

‘Noll-interaktion'Eller'friktionsfriSårbarheter är särskilt farliga och orsakar djup oro bland säkerhetsexperter. Ett litet utdrag om samtalet som Silvanovich kommer att hålla vid konferensen belyser oro för sådana säkerhetsfel i iPhone iOS. ”Det har förekommit rykten om fjärrsårbarheter som inte kräver någon användarinteraktion för att attackera iPhone, men begränsad information finns tillgänglig om de tekniska aspekterna av dessa attacker på moderna enheter. Denna presentation utforskar den avlägsna, interaktionsfria attackytan på iOS. Den diskuterar potentialen för sårbarheter i SMS, MMS, Visual Voicemail, iMessage och Mail och förklarar hur man ställer in verktyg för att testa dessa komponenter. Den innehåller också två exempel på sårbarheter som har upptäckts med dessa metoder. ”

Presentationen är inställd på att vara en av de mest populära vid kongressen, främst för att iOS-buggar utan användare är mycket sällsynta. De flesta iOS- och macOS-exploater är beroende av att lyckas lura offret att köra en app eller avslöja sina Apple ID-referenser. Ett noll-interaktionsfel kräver bara att ett smutsigt meddelande öppnas för att starta exploateringen. Detta ökar risken för infektion eller säkerhetskompromiss avsevärt. De flesta smarttelefonanvändare har begränsad fastighetsskärm och slutar öppna meddelanden för att kontrollera dess innehåll. Ett skickligt utformat och välformulerat meddelande ökar ofta exponentiellt den upplevda äktheten, vilket ytterligare driver chanserna till framgång.

Silvanovich nämnde att sådana skadliga meddelanden kunde skickas via SMS, MMS, iMessage, Mail eller till och med Visual Voicemail. De behövde bara hamna i offrets telefon och öppnas. "Sådana sårbarheter är en angripares heliga gral, vilket gör att de kan hacka in offerens enheter som inte upptäcks." Förresten hittills hittades sådana minimala säkerhetsproblem eller "Zero Interaction" -säkerhetsfunktioner som har använts av exploateringsleverantörer och tillverkare av juridiska avlyssningsverktyg och övervakningsprogram. Detta betyder helt enkelt sådant mycket sofistikerade buggar som orsakar minsta möjliga misstankar upptäcks och handlas främst av programvaruleverantörer som arbetar på Dark Web. Endast statssponserade och fokuserade hackgrupper har vanligtvis tillgång till dem. Detta beror på att leverantörer som får tag på sådana brister säljer dem för enorma summor pengar.

Enligt ett prisdiagram publicerat av Zerodium kan sådana sårbarheter som säljs på Dark Web eller den svarta programvarans marknad kosta över 1 miljon dollar vardera. Detta innebär att Silvanovich kan ha publicerat information om säkerhetsutnyttjande som olagliga programvaruleverantörer kan ha debiterat var som helst mellan 5 miljoner dollar och 10 miljoner dollar. Crowdfense, en annan plattform som arbetar med säkerhetsinformation, hävdar att priset lätt kunde ha varit mycket högre. Plattformen baserar sina antaganden på det faktum att dessa brister var en del av ”no-click attack chain”. Dessutom fungerade sårbarheterna på de senaste versionerna av iOS-exploater. Kombinerat med det faktum att det fanns sex av dem kunde en exploateringsleverantör lätt ha gjort mer än 20 miljoner dollar för partiet.