Вразливість в iOS два роки дозволяла злити паролі і фотографії з iPhone після відвідування сайту

Дослідники в галузі інформаційної безпеки з Google Project Zero виявили групу сайтів з кодом, що дозволяє через браузер встановлювати на iPhone програму, що отримує root-права і завантажує на сервери зловмисників конфіденційні дані, в тому числі паролі, дані місця розташування і фотографії. Зловмисники розробили щонайменше п'ять атак, заснованих на 14 вразливостях, причому вони були активні протягом більш ніж двох років, і одна з них працювала на поточній версії iOS 12 аж до виявлення. На момент публікації всі вразливості були усунені оновленнями безпеки.

В області інформаційної безпеки існує поняття вразливості нульового дня (0-day). Воно передбачає, що зловмисники використовують уразливість у програмному забезпеченні, про існування якої поки невідомо ні розробникам, ні широкій публіці. Ці вразливості вважаються найбільш небезпечними, тому що у розробників немає можливості своєчасно розробити захист від них. У Google є спеціальний дослідницький підрозділ Project Zero, що займається саме пошуком таких вразливостей і сповіщає розробників про їх існування.

29 серпня 2019 року дослідники з Project Zero оприлюднили інформацію про виявлення цілої низки критичних вразливостей нульового дня, які застосовувалися на практиці протягом щонайменше двох років. Дослідники ще в лютому повідомили про це Apple, тому компанія виправила вразливості до публічного розкриття інформації.

Дослідники виявили невелику групу зламаних зловмисниками сайтів, що містять код для злому iPhone через браузер Safari. Технічно вразливості були схильні й інші браузери, а також iPad, тому що в iOS розробники можуть використовувати тільки системний движок WebKit, проте дослідники відзначають, що атаки були націлені саме на iPhone і Safari.

Всього дослідники виявили 14 вразливостей, використаних зловмисниками. Сім з них були націлені на веб-движок WebKit, п'ять на ядро iOS, а ще дві обходили механізми пісочниці (ізольованого середовища виконання додатків). Вони були організовані в п'ять ланцюжків - наборів з уразливостей, які разом дозволяють запускати на iPhone шкідливу програму під правами суперкористувача, що по суті дозволяє їй робити що завгодно і отримувати доступ до практично будь-яких даних. Кожен з ланцюжків був націлений на певні версії iOS. Перша з них була націлена на версії з 10.0.1 по 10.1.1 і, мабуть, була активна з вересня 2016 року. Остання з них працює з версіями операційної системи з 11.4.1 по 12.1.2.

Загалом механізм роботи ланцюжків був наступним. Спочатку зловмисники за допомогою багів в JavaScript-движку JSC отримували можливість читати і писати в пам'ять смартфона, а потім використовували цю можливість, щоб записати в область пам'яті JIT-компілятора двійковий виконуваний код. Це дозволяє запускати на смартфоні повноцінний виконуваний код, що підвищує привілеї до суперкористувача. Після цього код копіює до теки/tmp виконуваний файл і змушує систему запускати його. Єдиний недолік цієї схеми полягає в тому, що після перезавантаження шкідлива програма вже не запускається і її необхідно встановлювати заново.

Дослідники з'ясували, що шкідлива програма активується щохвилини і пересилає на сервери зловмисників дані популярних месенджерів, таких як WhatsApp, iMessage і Telegram, причому в розшифрованому вигляді. Крім того, вона пересилає всі фотографії з галереї і місце розташування, а також копіює паролі та ключі з вбудованого в iOS менеджера паролів «Зв'язка ключів», що дозволяє зловмисникам отримувати доступ до безлічі акаунтів користувачів.

Автори дослідження відзначають, що всі виявлені вразливості вже виправлені Apple, а крім того, вони марні проти пристроїв на базі процесора A12 (iPhone XS і XR), тому що в ньому Apple застосувала новий захист від атак на JIT-компілятор. Тим не менш, вони висловили стурбованість, що протягом як мінімум двох років невідома група хакерів використовувала такі серйозні вразливості, націлені на широку аудиторію.

Google Project Zero вже не вперше виявляє масштабні критичні вразливості. У січні 2018 року разом з іншими групами дослідників вони розкрили інформацію про вразливості Meltdown і Spectre, хоча б частини з яких виявилися схильні до майже всіх сучасних процесорів. Їх виправлення призвело до зниження продуктивності комп'ютерів, нестабільності драйверів і навіть неможливості запустити деякі комп'ютери.