Google Project Zero در بهره برداری FORCEDENTRY مورد استفاده NSO Group قرار می گیرد

تیم پروژه صفر گوگل منتشر کرده است یک تحلیل تکنیکال از اکسپلویت FORCEDENTRY که توسط گروه NSO برای آلوده کردن آیفون‌های هدف با نرم‌افزار جاسوسی Pegasus از طریق iMessage استفاده شد.

Citizen Lab در ماه مارس FORCEDENTRY را در آیفون متعلق به یک فعال سعودی کشف کرد. سازمان نشان داد بهره برداری در سپتامبر اپل وصله‌هایی را برای این آسیب‌پذیری اساسی منتشر کرد که دستگاه‌های iOS، watchOS و macOS را تحت تأثیر قرار داد، 10 روز پس از افشای آن.

Project Zero می گوید که پس از اینکه Citizen Lab نمونه ای از این اکسپلویت را با کمک گروه مهندسی و معماری امنیتی اپل (SEAR) به اشتراک گذاشت، FORCEDENTRY را تجزیه و تحلیل کرد. (همچنین خاطرنشان می کند که نه Citizen Lab و نه SEAR لزوماً با "نظرات ویراستاری" آن موافق نیستند.)

Project Zero می‌گوید: «بر اساس تحقیقات و یافته‌های ما، ارزیابی می‌کنیم که این یکی از پیچیده‌ترین اکسپلویت‌هایی است که تا به حال دیده‌ایم، و بیشتر نشان می‌دهد که قابلیت‌هایی که NSO برای رقیب‌هایی ارائه می‌کند که قبلا تصور می‌شد تنها برای تعداد انگشت شماری قابل دسترسی است. دولت های ملی.»

تفکیک حاصل همه چیز را از پشتیبانی داخلی iMessage از GIF - که Project Zero به طور مفید به عنوان "تصاویر متحرک معمولاً کوچک و با کیفیت پایین محبوب در فرهنگ میم" تعریف می کند - تا تجزیه کننده PDF که از کدک تصویر نسبتا قدیمی JBIG2 پشتیبانی می کند را پوشش می دهد.

فایل های GIF، PDF و JBIG2 چه ارتباطی با به خطر انداختن گوشی از طریق iMessage دارند؟ Project Zero توضیح می دهد که گروه NSO راهی برای استفاده از JBIG2 برای دستیابی به موارد زیر پیدا کرده است:

JBIG2 قابلیت اسکریپت نویسی ندارد، اما هنگامی که با یک آسیب پذیری ترکیب می شود، توانایی شبیه سازی مدارهای گیت های منطقی دلخواه را دارد که بر روی حافظه دلخواه کار می کنند. پس چرا فقط از آن برای ساختن معماری کامپیوتر و اسکریپت خود استفاده نکنید!؟ این دقیقاً همان کاری است که این اکسپلویت انجام می دهد. آنها با استفاده از بیش از 70,000 دستور بخش که عملیات بیت منطقی را تعریف می کنند، یک معماری کامپیوتری کوچک با ویژگی هایی مانند ثبات ها و جمع کننده و مقایسه کننده کامل 64 بیتی تعریف می کنند که از آن برای جستجوی حافظه و انجام عملیات حسابی استفاده می کنند. به سرعت جاوا اسکریپت نیست، اما اساساً از نظر محاسباتی معادل است.

همه اینها به این معنی است که NSO Group از یک کدک تصویری استفاده کرد که برای فشرده سازی پی دی اف های سیاه و سفید ساخته شده بود تا بتواند چیزی "از لحاظ محاسباتی اساساً معادل" با زبان برنامه نویسی که به وب اجازه می دهد دریافت کند. apps برای عملکرد بر روی آیفون هدف.

Project Zero می‌گوید: «عملیات بوت استرپینگ برای اکسپلویت فرار سندباکس برای اجرا در این مدار منطقی نوشته شده‌اند و همه چیز در این محیط عجیب و غریب شبیه‌سازی شده ایجاد شده از یک گذر فشرده‌سازی از یک جریان JBIG2 اجرا می‌شود. "این بسیار باورنکردنی و در عین حال بسیار وحشتناک است."

خبر خوب: اپل FORCEDENTRY را با انتشار iOS 14.8 اصلاح کرد و تغییرات بیشتری را در iOS 15 برای جلوگیری از حملات مشابه اعمال کرد. خبر بد: پروژه صفر تحلیل تکنیکال خود را به دو پست وبلاگ تقسیم می کند و می گوید که دومی هنوز تمام نشده است.

اما حتی نیمی از تجزیه و تحلیل ها به ابهام زدایی از سوء استفاده ای که منجر به اعتراض عمومی شد، قرار گرفتن گروه NSO در لیست نهاد توسط وزارت بازرگانی ایالات متحده و شکایت اپل علیه این شرکت کمک می کند. گروه NSO Pegasus را ایجاد کرد. اکنون پروژه صفر نشان می دهد که چگونه پرواز را یاد گرفته است.