Operation Triangulation: Ausgeklügelter iPhone-Exploit nutzte undokumentierte Hardware-Funktion aus

Eine bisher unbekannte Hardware-Schwachstelle in iPhones wurde in einer mehrjährigen Spyware-Kampagne namens „Operation Triangulation“ ausgenutzt, bei der Dutzende bis Tausende iPhones infiziert wurden. Dies geht aus neuen Untersuchungsergebnissen hervor, die Sicherheitsforscher am Mittwoch auf dem 37C3 Kongress vorstellten.

Undokumentiertes Hardware-Feature ermöglichte Umgehung von Sicherheitsmechanismen

Die Angreifer nutzten eine nicht dokumentierte Funktion in den Apple-Chips, um die hardware-basierten Sicherheitsmechanismen der iPhones zu umgehen. Diese Funktion war außerhalb von Apple und Chip-Zulieferern wie ARM Holdings kaum bekannt.

„Die Raffinesse des Exploits und die Obskurität der Funktion lassen darauf schließen, dass die Angreifer über fortschrittliche technische Fähigkeiten verfügten“ (Kaspersky-Forscher Boris Larin)

Dies deutet darauf hin, dass es sich bei den Angreifern um einen sehr fähigen Akteur handelt.

Vier Zero-Day-Schwachstellen über Jahre hinweg ausgenutzt

Die Angreifer nutzten im Rahmen der Kampagne vier Zero-Day-Schwachstellen über einen Zeitraum von vier Jahren aus. Viele der infizierten iPhones gehörten Mitarbeitern des Sicherheitsunternehmens Kaspersky mit Sitz in Moskau.Kaspersky-Analysten versuchen seit einem Jahr, die komplexe Angriffskette zu rekonstruieren und alle Details der Kampagne aufzudecken. Trotzdem sind noch viele Fragen offen, unter anderem wie die Angreifer auf die undokumentierte Hardware-Funktion aufmerksam wurden.

So funktioniert der Angriff

Die Kampagne beginnt mit einem Zero-Click-Angriff auf Apples iMessage, der vier Schwachstellen ausnutzt:

• CVE-2023-41990: Ermöglicht durch eine Schriftartdatei die Remote-Code-Ausführung
• CVE-2023-32434: Ganzzahlüberlauf in XNU beim Speichermapping
• CVE-2023-32435: WebKit-Speicherfehler
• CVE-2023-38606: Ermöglicht das Umgehen von hardwarebasierten Sicherheitsschutzmaßnahmen durch Ausnutzung einer undokumentierten Hardware-Funktion

Nach anfänglichem Zugriff durch die iMessage kann durch CVE-2023-38606 der Hardware-basierte Schutz von neueren iPhones umgangen werden. Dies ermöglichte den Angreifern, auf Bereiche des Speichers zuzugreifen, die normalerweise geschützt sind.Laut Kaspersky handelt es sich bei der ausgenutzten Funktion um ein undokumentiertes Hardware-Merkmal, das wahrscheinlich für Debugging-Zwecke vorgesehen war oder versehentlich in die Chips eingebaut wurde. Da die Firmware diese Funktion nicht nutzt, ist unklar, wie die Angreifer von ihrer Existenz und Nutzung erfahren haben.

Fazit: Neue Dimension der iPhone-Bedrohung

Die Operation Triangulation zeigt eine neue Dimension der Bedrohung für iPhones. Bisher unbekannte Hardwareschwachstellen können nicht nur von sehr fähigen Angreifern entdeckt und für Spyware-Kampagnen missbraucht werden, sondern ermöglichen auch einen nie dagewesenen Zugriff auf infizierte Geräte.Obwohl viele Details der Kampagne noch unklar sind, machen die Erkenntnisse deutlich, dass die Abhängigkeit von Security durch Obscurity bei Hardware-Designs eine gefährliche Fehlannahme ist. Stattdessen müssen umfassendere Sicherheitskonzepte zum Schutz der Vertraulichkeit und Integrität von Benutzerdaten etabliert werden.

Quellen:
[1] https://arstechnica.com/security/2023/12/exploit-used-in-mass-iphone-infection-campaign-targeted-secret-hardware-feature
[2] https://www.bleepingcomputer.com/news/security/iphone-triangulation-attack-abused-undocumented-hardware-feature/
[3] https://www.heise.de/news/Operation-Triangulation-Raffiniertester-Exploit-aller-Zeiten-auf-iPhones-9583427.html