苹果设备的新型网络攻击解析

关键要点

• 研究人员揭示了针对iPhone的复杂攻击链，涉及四个漏洞，攻击者利用了苹果未记录的硬件安全功能。
• 攻击者通过零点击攻击获得了对设备安全内存的控制，最终完全控制了iPhone及其他苹果设备。
• Kaspersky披露了该攻击活动的相关发现，称之为“操作三角测量”，并对其进行了详细分析。

几个月前，针对一项复杂网络攻击的揭发引起了广泛关注。此次攻击使用了完善的间谍软件侵入了iPhone，研究人员进一步披露了攻击链的复杂性，涉及四个独立的漏洞。

在这次发现中，研究人员指出，零点击攻击利用了苹果一个未记录的硬件安全功能中的漏洞。这一漏洞使攻击者能够操控安全内存的内容，从而获得对iPhone及其他苹果设备的完全控制。

这些新发现是由Kaspersky披露的，该公司首次发现了“操作三角测量”行动，因其员工的手机遭到未知的高级持续威胁（APT）组织侵害。

Kaspersky在12月27日的第37届混乱通信大会（Chaos CommunicationsCongress）上展示了其发现，并在同一天发布了详细说明了其发现。

“如果我们尝试描述这个硬件安全特性及攻击者如何利用它，结论是：他们能够在绕过基于硬件的内存保护的情况下，将数据写入特定的物理地址，同时将数据、目标地址和数据哈希写入芯片未被固件使用的未知硬件寄存器，”研究人员写道。

研究人员猜测，这个未知的硬件特性可能是苹果工程师或工厂用于调试或测试的，或者是因错误而包含在内的。由于该特性未被固件使用，因此我们无法确定攻击者是如何知道如何利用它的。

该漏洞被追踪为，自那之后已被，包括在“操作三角测量”攻击链中的另三个漏洞： –
–
–

GReAT首席安全研究员BorisLarin表示：“这一发现再次教会我们，即使是先进的硬件保护措施，在面对复杂的攻击者时也可能失效，尤其是当有硬件特性可以绕过这些保护时。”

“操作三角测量”攻击始于威胁者向目标iPhone发送带有附件的恶意iMessage，该信息在用户毫不知情的情况下处理。

该iMessage附件利用了CVE-2023-41990，这是苹果专有的ADJUST TrueType字体指令中的一个远程代码执行漏洞。

一旦攻击链完成，间谍软件安装完毕，攻击者便可以完全控制目标设备，进行包括将手机内容传输到其服务器的各种间谍活动。

尽管在重启手机时间谍软件会被清除，但这并不妨碍攻击者重新加载恶意软件并再次控制设备。

Kaspersky发现该恶意软件不仅能在iPhone上运行，还能在MacOS设备、iPad、Apple TV以及Apple Watch上执行。

“我们每天都在发现和分析新漏洞与攻击，已经报告了三十多起在Adobe、Apple、Google和Microsoft产品中的零日漏洞，但这无疑是我们见过的最复杂的攻击链，”研究人员在其文章中表示。

“我们不知道攻击者是如何学习使用这个未知的硬件特性的，或者它的原始用途是什么。我们也不知道它是苹果开发的，还是像ARMCoreSight这样的第三方组件。”

CoreSight是芯片制造商ARM使用的调试和跟踪架构，ARM