يتعمق Google Project Zero في استغلال FORCEDENTRY الذي تستخدمه مجموعة NSO

نشر فريق Google Project Zero تحليل فني من استغلال FORCEDENTRY الذي استخدمته NSO Group لإصابة أجهزة iPhone المستهدفة ببرامج التجسس Pegasus الخاصة بها عبر iMessage.

اكتشف Citizen Lab قوة FORCEDENTRY على جهاز iPhone مملوك لناشط سعودي في مارس ؛ المنظمة كشف استغلال في سبتمبر. أصدرت Apple تصحيحات للثغرة الأمنية الأساسية ، والتي أثرت على أجهزة iOS و watchOS و macOS ، بعد 10 أيام من هذا الكشف.

يقول Project Zero إنه حلل FORCEDENTRY بعد أن شارك Citizen Lab عينة من الثغرة بمساعدة من مجموعة هندسة الأمان والهندسة المعمارية (SEAR) التابعة لشركة Apple. (كما يشير أيضًا إلى أنه لا Citizen Lab ولا SEAR يتفقان بالضرورة مع "الآراء التحريرية".)

يقول Project Zero: "استنادًا إلى أبحاثنا ونتائجنا ، فإننا نقيِّم هذا على أنه أحد أكثر عمليات استغلال الثغرات تعقيدًا من الناحية التقنية التي رأيناها على الإطلاق ، مما يوضح أيضًا أن القدرات التي توفرها NSO تنافس تلك التي كان يُعتقد سابقًا أنها يمكن الوصول إليها لعدد قليل فقط الدول القومية ".

يغطي التقسيم الناتج كل شيء بدءًا من دعم iMessage المدمج لملفات GIF - والتي يُعرّفها Project Zero بشكل مفيد على أنها "عادةً صور متحركة صغيرة ومنخفضة الجودة شائعة في ثقافة meme" - إلى محلل PDF يدعم برنامج ترميز الصور JBIG2 القديم نسبيًا.

ما علاقة ملفات GIF و PDF و JBIG2 بالتعامل مع الهاتف عبر iMessage؟ يوضح Project Zero أن NSO Group وجدت طريقة لاستخدام JBIG2 لتحقيق ما يلي:

"لا تمتلك JBIG2 إمكانيات البرمجة النصية ، ولكن عندما تقترن بالثغرة الأمنية ، فإنها تمتلك القدرة على محاكاة دوائر بوابات منطقية عشوائية تعمل على ذاكرة عشوائية. فلماذا لا تستخدم ذلك فقط لبناء هندسة الكمبيوتر الخاصة بك والنصوص !؟ هذا بالضبط ما يفعله هذا الاستغلال. باستخدام أكثر من 70,000 أمر مقطع لتعريف عمليات البت المنطقية ، فإنهم يحددون بنية كمبيوتر صغيرة بميزات مثل السجلات و adder كامل 64 بت ومقارن يستخدمونه للبحث في الذاكرة وأداء العمليات الحسابية. إنها ليست بنفس سرعة جافا سكريبت ، لكنها مكافئة حسابيًا بشكل أساسي ".

كل هذا يعني أن NSO Group استخدمت برنامج ترميز للصور تم إنشاؤه لضغط ملفات PDF بالأبيض والأسود حتى تتمكن من الحصول على شيء "مكافئ من الناحية الحسابية" للغة البرمجة التي تسمح للويب apps للعمل على هاتف iPhone الهدف.

يقول Project Zero: "تمت كتابة عمليات bootstrapping لاستغلال هروب sandbox لتعمل على هذه الدائرة المنطقية ، ويعمل كل شيء في هذه البيئة الغريبة والمحاكية التي تم إنشاؤها من تمرير ضغط واحد عبر تيار JBIG2". "إنه أمر لا يصدق ، وفي الوقت نفسه ، مرعب للغاية."

الخبر السار: قامت Apple بتصحيح FORCEDENTRY بإصدار iOS 14.8 وتضمنت تغييرات إضافية في iOS 15 لمنع هجمات مماثلة. الأخبار السيئة: يقوم Project Zero بتقسيم تحليله الفني إلى مشاركتين على المدونة ، ويقول إن الثانية لم تنته بعد.

ولكن حتى نصف التحليل فقط يساعد في إزالة الغموض عن الاستغلال الذي أدى إلى احتجاج عام ، ووضع NSO Group في قائمة الكيانات من قبل وزارة التجارة الأمريكية ، والدعوى القضائية التي رفعتها شركة Apple ضد الشركة. قامت NSO Group بإنشاء Pegasus ؛ يكشف الآن Project Zero عن كيفية تعلمه للطيران.