Google Project Zero zagłębia się w wykorzystanie FORCEDENTRY wykorzystywanego przez NSO Group

Zespół Google Project Zero opublikował analiza techniczna exploita FORCEDENTRY, który został wykorzystany przez NSO Group do infekowania docelowych iPhone'ów oprogramowaniem szpiegującym Pegasus za pośrednictwem iMessage.

W marcu Citizen Lab odkrył FORCEDENTRY na iPhonie należącym do saudyjskiego aktywisty; organizacja ujawnił wyczyn we wrześniu. Firma Apple wydała poprawki dla podstawowej luki w zabezpieczeniach, która dotyczyła urządzeń z systemem iOS, watchOS i macOS, 10 dni po tym ujawnieniu.

Project Zero twierdzi, że przeanalizował FORCEDENTRY po tym, jak Citizen Lab udostępnił próbkę exploita z pomocą grupy Apple Security Engineering and Architecture (SEAR). (Zauważa również, że ani Citizen Lab, ani SEAR nie muszą zgadzać się z jej „opiniami redakcyjnymi”).

„Na podstawie naszych badań i ustaleń”, mówi Project Zero, „oceniamy, że jest to jeden z najbardziej wyrafinowanych technicznie exploitów, jakie kiedykolwiek widzieliśmy, co dodatkowo pokazuje, że możliwości zapewniane przez NSO rywalizują z tymi, które wcześniej uważano za dostępne tylko dla nielicznych. państw narodowych”.

Wynikowy podział obejmuje wszystko, od wbudowanego w iMessage wsparcia dla GIF-ów — które Project Zero trafnie definiuje jako „zazwyczaj małe i niskiej jakości animowane obrazy popularne w kulturze memów” — po parser PDF, który obsługuje stosunkowo stary kodek obrazu JBIG2.

Co mają wspólnego GIF-y, PDF-y i JBIG2 z kompromitacją telefonu przez iMessage? Project Zero wyjaśnia, że ​​NSO Group znalazł sposób na wykorzystanie JBIG2 do osiągnięcia następujących celów:

„JBIG2 nie ma możliwości tworzenia skryptów, ale w połączeniu z luką ma zdolność emulowania obwodów dowolnych bramek logicznych działających na dowolnej pamięci. Dlaczego więc nie wykorzystać tego do zbudowania własnej architektury komputerowej i skryptu!? Dokładnie to robi ten exploit. Używając ponad 70,000 64 poleceń segmentowych definiujących operacje na bitach logicznych, definiują małą architekturę komputera z funkcjami, takimi jak rejestry oraz pełny XNUMX-bitowy sumator i komparator, których używają do przeszukiwania pamięci i wykonywania operacji arytmetycznych. Nie jest tak szybki jak JavaScript, ale jest zasadniczo równoważny obliczeniowo”.

Wszystko to oznacza, że ​​NSO Group użyła kodeka obrazu, który został stworzony do kompresji czarno-białych plików PDF, aby uzyskać coś „zasadniczo obliczeniowo równoważnego” z językiem programowania, który umożliwia korzystanie z sieci apps do działania na iPhonie celu.

„Operacje ładowania początkowego dla exploita ucieczki w piaskownicy są napisane tak, aby działały na tym obwodzie logicznym, a całość działa w tym dziwnym, emulowanym środowisku utworzonym z pojedynczego przejścia dekompresyjnego przez strumień JBIG2” — mówi Project Zero. „To niesamowite, a jednocześnie przerażające”.

Dobra wiadomość: Apple załatało FORCEDENTRY wraz z wydaniem iOS 14.8 i wprowadziło dodatkowe zmiany w iOS 15, aby zapobiec podobnym atakom. Zła wiadomość: Project Zero dzieli swoją analizę techniczną na dwa posty na blogu i mówi, że drugi nie jest jeszcze skończony.

Ale nawet tylko połowa analizy pomaga zdemaskować exploit, który doprowadził do publicznego oburzenia, umieszczenia NSO Group na liście podmiotów przez Departament Handlu USA i pozwu Apple przeciwko firmie. Grupa NSO stworzyła Pegasusa; teraz Project Zero ujawnia, jak nauczył się latać.