14 vulnerabilidades en iPhone han sido el objetivo de cinco cadenas de exploits(herramientas que unifican vulnerabilidades de seguridad, permitiendo al atacante penetrar en cada capa de las protecciones digitales de iOS). Estas cadenas forman parte de un ataque que ha durado años; dos de estas vulnerabilidades se trataban de Zero Days.

Los sitios web infectados que fueron utilizados como medio para llevar a cabo el ataque contenían el spyware encargado de robar información de iMessages, fotos y localización GPS en tiempo real, según lo reportado por Ian Beer y el equipo de investigación Project Zero de Google.

«No había un objetivo específico; visitar el sitio hackeado era suficiente para que el exploit se ejecutase en el dispositivo, y en caso de ejecutarse con éxito, se instalaba un módulo de monitorización», escribió Beer en un blog el pasado viernes. «Estimamos que estos sitios reciben miles de visitas cada semana». Los sitios infectados estaban activos desde hace, al menos, dos años.

Beer dijo que en el ataque se habían usado siete bugs para el navegador de iPhone (Safari), cinco para el kernel y dos «sandbox escapes« (exploit que permite acceder a funcionalidades o procesos más allá de lo permitido en una aplicación normalmente). Google ha sido capaz de hacerse con cinco exploits totalmente distintivos y únicos para iPhone, los cuales afectan casi a cada versión de estos dispositivos que van desde iOS 10 hasta la última versión de iOS 12.

Escribía el investigador:

Un análisis inicial indicó que al menos una de las cadenas de exploits para la escalada de privilegios era un 0-day, el cual no había sido solventado en el momento de su descubrimiento [enero] (CVE-2019-7287 y CVE-2019-7286).

El alcance de las versiones afectadas «apuntaban a un grupo que estaba haciendo un esfuerzo continuo para hackear a usuarios de iPhone en ciertas comunidades durante un periodo de tiempo de al menos dos años». Añadía Beer que la raíz de las vulnerabilidades revelaban código que, aparentemente, nunca había sido desarrollado correctamente, al cual le faltaban controles de calidad, o que «probablemente casi no se sometió a pruebas o revisiones antes de ser entregados a los usuarios (los dispositivos)».

Google informó sobre estos problemas a Apple en enero, lo que resultó en el lanzamiento apresurado de iOS 12.1.4 en febrero de 2019, el cual no estaba programado para esa fecha; las vulnerabilidades se dieron a conocer públicamente en ese momento.

Detalles del módulo

El payload del malware usado en el ataque es algo personalizado y desarrollado para realizar tareas de monitorización. Este payload hace peticiones mediante comandos desde un servidor C&C (C2) cada sesenta segundos, y se centra principalmente en robar archivos y obtener datos de localización en tiempo real. El análisis de Beer mostró que se pueden evitar algunas de las medidas de seguridad usadas por disidentes para, por ejemplo, proteger su privacidad (y en muchos casos su seguridad física).

Según el investigador, los atacantes usaron las cadenas de exploits para conseguir ejecutar código fuera de un entorno sandbox como usuario root en los iPhones. Tras lograr esto, los atacantes ejecutaban «posix_spawn«, pasando la ruta al módulo, el cual era almacenado en /tmp; esto hacía que el módulo corriese en segundo plano con privilegios root.

«El implante se ejecuta en el espacio del usuario, aunque fuera de un entorno sandbox y con privilegios de root seleccionados por el atacante para asegurarse de que puede seguir accediendo a la información privada en la que estaban interesados», detallaba Beer. «Usando jtool, podemos ver los privilegios que tiene el módulo… los atacantes tienen control total sobre estos, ya que usaban el exploit para el kernel con el objetivo de añadir el hash del código del módulo a la caché del kernel«.

Durante la prueba, Beer fue capaz de usar el malware para robar archivos de la base de datos de un teléfono infectado, el cual era usado por aplicaciones de mensajería instantánea cifrada de extremo a extremo como WhatsApp, iMessage y Telegram – lo cual significa que pudo hacerse con el texto plano de los mensajes enviados y recibidos.

Esta misma técnica podía ser usada en todo el dispositivo.

«El implante puede subir archivos privados usados por todas las aplicaciones del dispositivo, como por ejemplo el contenido en texto plano de emails enviados con la aplicación Gmail, los cuales eran subidos al servidor del atacante», comunicaba Beer.

El implante también realiza copias de los contactos del usuario (nombres completos y números de teléfono) almacenados en la agenda de contactos del iPhone, copias de fotos, y puede hacerse con la localización en tiempo real del usuario, actualizando esta última información hasta una vez por minuto si el dispositivo está conectado a alguna red.

Los atacantes podrían conseguir la persistencia en el dispositivo infectado mediante el robo de tokensusados por servicios como iOS Single-Sign-On de Google. Dicha información será transmitida al atacante y podrá ser usada para tener acceso a la cuenta de Google del usuario incluso una vez el implante deje de ser ejecutado. Para que el módulo deje de correr en el dispositivo será necesario reiniciarlo, e incluso así, si tras el reinicio el usuario volviese a visitar el sitio web comprometido, la infección tendría lugar nuevamente.

La dirección IP del servidor a la que se suben los archivos se encuentra incrustada en el binario del módulo, algo que algunos investigadores que se han pronunciado sobre el asunto consideran un «error amateur» frente a la sofisticación de los Zero Days explotados, llegando a especular que tras el ataque se encuentra un estado cuyo objetivo es monitorizar a un grupo concreto de la población y que habría comprado el 0-daypor una importante suma de dinero, siendo sus desarrolladores, aparentemente recién iniciados en el mundo del ciberespionaje de acuerdo a los investigadores, quienes se encargaron de desarrollar el malwaree introduciendo en su estructura la dirección IP del servidor, lo cual podría facilitar la localización del grupo atacante.

Junto al robo de información privada de los usuarios, igualmente preocupante resulta el hecho de que nada está cifrado -todo se envía al C2 vía HTTP (no HTTPs), abriendo la posibilidad de que los datos sean filtrados a otras personas. Este es otro aspecto que hace pensar a algunos investigadores que el grupo atacante es relativamente inexperto. «Si te conectas a una red de Wi-Fi no cifrada esta información estará siendo transmitida a todo aquel que está a tu alrededor, a tu operador de red y a cualquier intermediario hasta llegar al servidor de Control y Comando», informaba Beer.

En cuanto a los usuarios, estos no se habrían dado cuenta de que habían sido infectados, permitiendo así que el binario obtuviese la información personal durante todo el tiempo que el usuario permaneciera sin reiniciar el dispositivo. «No hay un indicador visual que muestre que se está ejecutando el implante en el dispositivo. No hay manera de que un usuario de iOS vea una lista de procesos, de manera que el binario del módulo no intenta ni siquiera esconder su ejecución en el sistema», según lo reportado por el investigador.

Los sitios webs usados para el ataque tenían como objetivo cierto grupo de personas. Aunque no dijo explícitamente si se trataba de personajes del mundo de la política o grupos demográficos, Beer dio a entender que se trataba del primer grupo. Tampoco se tiene información sobre quién se encuentra detrás del ataque, pero tanto la sofisticación del ataque como su objetivo de espionaje sugiere, como se ha mencionado previamente, que se trata de un grupo de hackers respaldados por un estado.

Ian Beer explica que es necesario dejar a un lado la noción de que cualquier usuario de iPhone que haya podido ser hackeado es «el disidente del millón de dólares» (un nickname que se le dio al activista de derechos humanos de Emiratos Árabes Unidos, Ahmed Mansour, actualmente encarcelado, después de que su iPhone fuese hackeado). El nickname «disidente del millón de dólares» vino por lo costoso que se estimó que fue el proceso de hackear el iPhone de este activista, y con respecto a esto Beer dice que no tiene intención de iniciar una conversación sobre cuánto cuesta una campaña como la tratada en este artículo, pero dice que todos los precios dados «parecen bajos considerando la capacidad de monitorización de las actividades privadas de poblaciones enteras en tiempo real».

El investigador también dijo que los sitios web infectados, los zero-days y los exploits descubiertos por Google durante la investigación son más bien la punta del iceberg, aclarando que «todavía hay muchos otros que están por verse».

Desde Hispasec Sistemas no solo recomendamos que los usuarios mantengan sus dispositivos actualizados; también secundamos el consejo proporcionado por Beer, quien advirtió a los usuarios alentándoles a que fuesen más precavidos ante la amenaza real de los ciberataques, y a que consideren dónde podría acabar un día toda la información que se encuentra en sus dispositivos.