सुरक्षा सप्ताह 36: स्मार्टफोन भेद्यता जीवनकाल

पिछले सप्ताह की मुख्य खबर आईओएस आधारित उपकरणों पर एक वास्तविक हमले का एक बड़े पैमाने पर अध्ययन था, जो Google प्रोजेक्ट ज़ीरो टीम के विशेषज्ञ जन बेर द्वारा प्रकाशित किया गया था ( समाचार , जनवरी के ब्लॉग पोस्ट सात अतिरिक्त प्रकाशनों के लिंक के साथ)। यह एक अध्ययन का एक दुर्लभ उदाहरण है जो न केवल आईफोन को हैक करने की प्रक्रिया के बारे में विस्तार से वर्णन करता है, बल्कि इंस्टॉल किए गए प्रत्यारोपण के परिणाम भी बताता है।

अध्ययन ने हमलावरों के लक्ष्य को प्रकट नहीं किया, और कुछ विषमताएं हैं। अतिरिक्त उपयोगकर्ता क्रियाओं के बिना संक्रमित आईओएस डिवाइसों का शोषण, यह हैक की गई वेबसाइट पर जाने के लिए पर्याप्त था। उसी समय, सभी साइट विज़िटर संक्रमित हो गए, जो कि ऐप्पल डिवाइसों के लिए एक कार्यशील शोषण की कीमत के संदर्भ में, इसे हल्के ढंग से, अदूरदर्शी रूप से रखा गया। इस तथ्य के बावजूद कि "हर हफ्ते हजारों उपयोगकर्ता" संक्रमित साइटों का दौरा करते थे, यह विशेष अभियान कम से कम दो साल तक चला, आईओएस के नए संस्करणों के रूप में हमले के तरीकों को बदलते हुए उपलब्ध हो गया।



2016 में हमले शुरू हुए, उन्हें 5s से सबसे आधुनिक लोगों के लिए सभी iPhone मॉडल के अधीन किया गया, जो iOS 10-12 संस्करण चला रहा था। संक्रमित वेबसाइटों के एक अध्ययन से 14 कमजोरियों का पता चला है जो आईओएस को हैक करने के लिए पांच अलग-अलग संयोजनों में उपयोग किया गया था। प्रत्येक विधि ने पीड़ित के टेलीफोन पर पूर्ण नियंत्रण प्रदान किया। जैसा कि iOS अपडेट जारी किए गए थे, हमले के तरीकों में बदलाव आया, सबसे अधिक संभावना आईओएस के नए संस्करणों में कमजोरियों को बंद करने की प्रतिक्रिया में हुई, लेकिन, संभवतः, कुछ अन्य कारणों से। वर्तमान आईओएस 12 के लिए, दो हमले परिदृश्यों का उपयोग किया गया था। खोज के समय, उनमें से केवल एक ने iOS के नवीनतम संस्करण में कवर नहीं की गई कमजोरियों का उपयोग किया था: उनके लिए एक आपातकालीन पैच इस साल फरवरी में जारी किया गया था।

Google प्रोजेक्ट ज़ीरो ब्लॉग सभी पाँच हमले के तरीकों का विवरण देता है और विभिन्न iOS घटकों में उपयोग की जाने वाली कमजोरियों का विश्लेषण करता है। अलग-अलग, शोधकर्ता सैमुअल ग्रॉस ब्राउज़र में भेद्यता का वर्णन करते हैं , अधिक सटीक रूप से, वेबिट इंजन में। एक दिलचस्प अवलोकन है: शोधकर्ताओं ने सुझाव दिया (लेकिन यह सुनिश्चित करने के लिए नहीं कह सकते) कि हमलावरों ने वेबकिट इंजन के पैच को ध्यान से देखा और iOS के खिलाफ कारनामे का इस्तेमाल किया, जब तक कि ऐप्पल स्मार्टफ़ोन के लिए अगला अपडेट जारी नहीं किया गया।



कुछ मामलों में, एक भेद्यता पैच के साथ, शोधकर्ताओं ने प्रूफ ऑफ कॉन्सेप्ट प्रकाशित किया। ऊपर दी गई तस्वीर से पता चलता है कि सार्वजनिक पीओसी हमले के आयोजकों ने न्यूनतम बदलावों के साथ क्या इस्तेमाल किया। यह भेद्यता 11 मार्च, 2017 को WebKit में बंद हो गई थी, और इस पैच के साथ iOS 10.3.2 की रिलीज़ केवल 15 मई को हुई थी। कुल मिलाकर, लेख वेबकीट में सात कमजोरियों का वर्णन करता है, और प्रत्येक मामले में, हमलावरों को पैच जारी होने से पहले लगभग दो महीने की बाधा थी। ब्राउज़र में कमजोरियां स्वयं मोबाइल डिवाइस पर पूर्ण नियंत्रण प्रदान नहीं करती हैं, लेकिन उनके लिए धन्यवाद, ओएस के अन्य घटकों में कमजोरियों का दोहन करना और पूर्ण नियंत्रण प्राप्त करना संभव हो जाता है।



अंत में, एक अलग लेख मैलवेयर की कार्यक्षमता का वर्णन करता है जो हमलावरों ने आईओएस को हैक करने के बाद स्थापित किया था। अक्सर, शोधकर्ता संभावनाओं की एक सरल सूची तक सीमित होते हैं, यहां सब कुछ स्पष्ट रूप से स्क्रीनशॉट के साथ दिखाया गया है। अर्थात्: टेलीग्राम, व्हाट्सएप, हैंगआउट और iMessage से पत्राचार की चोरी, GMail अनुप्रयोग में अनएन्क्रिप्टेड पत्राचार का अवरोधन, संपर्कों की चोरी, तस्वीरें और पीड़ित के जियोलोकेशन का हर मिनट हस्तांतरण। इम्प्लांट, Google खाते जैसे सेवाओं तक पहुंचने के लिए हमलावरों के सर्वर पर वाईफाई पासवर्ड और टोकन भी अपलोड करता है। दुर्भावनापूर्ण प्रोग्राम एक रिबूट से नहीं बचता है, लेकिन, सबसे पहले, स्मार्टफ़ोन इतनी बार रिबूट नहीं करते हैं, और दूसरी बात, यहां तक ​​कि दुर्भावनापूर्ण प्रोग्राम का अल्पकालिक संचालन हमलावर को मेल खाते और अन्य चीजों से आगे समझौता करने के लिए बहुत सारी जानकारी देता है।

यह डरावना लगता है। उपयोगकर्ता किसी भी तरह से मैलवेयर की उपस्थिति का निर्धारण नहीं कर सकता है, क्योंकि उसके पास स्वयं नहीं है, उदाहरण के लिए, चल रही प्रक्रियाओं की सूची में। कमांड सर्वर के लिए हर मिनट कॉल की विशेषता से संक्रमित डिवाइस की पहचान करना संभव है। इसके अलावा, सभी चोरी किए गए डेटा को एन्क्रिप्शन के बिना, http के माध्यम से प्रसारित किया जाता है, और सैद्धांतिक रूप से न केवल हमले के आयोजकों के लिए, बल्कि आम तौर पर किसी के लिए भी उपलब्ध है। हमलावरों ने लंबे समय तक काम करने का प्रबंधन कैसे किया, जबकि वास्तव में शून्य-दिन की कमजोरियों को छिपाना और उनका शोषण करना नहीं था? Google प्रोजेक्ट शून्य का प्रकाशन इस प्रश्न का उत्तर नहीं देता है। लेख केवल यह कहता है कि इस तरह के अभियान के केवल एक होने की संभावना नहीं है।

इस अध्ययन में, अपने सामान्य सार्वजनिक शोषण के दौरान एक कामकाजी शोषण का जीवनकाल रूचि का है। शोधकर्ताओं द्वारा दिखाए गए समयरेखा को देखते हुए, यह तीन से नौ महीने तक लगता है, हालांकि दिखाए गए सभी तरीकों ने एक अद्यतन फोन पर नवीनतम संस्करण में काम नहीं किया है।



इससे पहले, Kaspersky Lab के विशेषज्ञों ने Android उपयोगकर्ताओं ( समाचार , अनुसंधान ) पर बड़े पैमाने पर हमले के बारे में बात की थी। लोकप्रिय कैमस्कैनर एप्लिकेशन, जो एक तस्वीर वाले दस्तावेज़ के पाठ को पहचानता है, कुछ बिंदु पर समझौता किया गया था: Google Play पर प्रोग्राम कोड में एक विज्ञापन मॉड्यूल जोड़ा गया था, जो हमलावर के सर्वर तक पहुंच गया था और वहां से दुर्भावनापूर्ण कोड डाउनलोड किया था। इस मामले में, Necro.n ट्रोजन ने पीड़ितों को किसी भी तरह से उपलब्ध अन्य विज्ञापनों के शीर्ष पर विज्ञापन दिखाने से लेकर भुगतान किए गए नंबरों पर एसएमएस भेजने तक पैसे कमाए। फिलहाल, एप्लिकेशन को Google स्टोर से हटा दिया गया है, और उपयोगकर्ता समीक्षाओं के अनुसार, दुर्भावनापूर्ण संस्करण लगभग एक महीने तक फैला हुआ है - स्मार्टफ़ोन पर इतने बड़े पैमाने पर हमले किसी का ध्यान नहीं जाता है। स्टोर के अनुसार, आवेदन को 100 मिलियन से अधिक बार डाउनलोड किया गया है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय कैस्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।