Proiectul Google Zero merge în profunzime pe exploatarea FORCEDENTRY folosită de NSO Group

Echipa Google Project Zero a publicat o analiză tehnică a exploit-ului FORCEDENTRY care a fost folosit de NSO Group pentru a infecta iPhone-urile țintă cu programul său spion Pegasus prin iMessage.

Citizen Lab a descoperit FORCEDENTRY pe un iPhone deținut de un activist saudit în martie; Organizatia dezvăluit exploatarea din septembrie. Apple a lansat patch-uri pentru vulnerabilitatea de bază, care a afectat dispozitivele iOS, watchOS și macOS, la 10 zile după acea dezvăluire.

Proiectul Zero spune că a analizat FORCEDENTRY după ce Citizen Lab a împărtășit un eșantion al exploit-ului cu asistența grupului de inginerie și arhitectură de securitate (SEAR) al Apple. (De asemenea, observă că nici Citizen Lab, nici SEAR nu sunt neapărat de acord cu „opiniile sale editoriale”.)

„Pe baza cercetărilor și constatărilor noastre”, spune Project Zero, „evaluăm că aceasta este una dintre cele mai sofisticate exploatări din punct de vedere tehnic pe care le-am văzut vreodată, demonstrând în continuare că capacitățile pe care NSO le oferă rivalizează cu cele considerate anterior a fi accesibile doar pentru o mână de oameni. a statelor națiuni.”

Defalcarea rezultată acoperă totul, de la suportul încorporat de iMessage pentru GIF-uri – pe care Project Zero le definește cu ajutor ca fiind „imagini animate de obicei mici și de calitate scăzută, populare în cultura meme” – până la un parser PDF care acceptă codecul de imagine JBIG2 relativ vechi.

Ce legătură au GIF-urile, PDF-urile și JBIG2 cu compromiterea unui telefon prin iMessage? Proiectul Zero explică că NSO Group a găsit o modalitate de a utiliza JBIG2 pentru a realiza următoarele:

„JBIG2 nu are capabilități de scripting, dar atunci când este combinat cu o vulnerabilitate, are capacitatea de a emula circuite de porți logice arbitrare care funcționează pe memorie arbitrară. Așadar, de ce să nu folosești asta pentru a-ți construi propria arhitectură a computerului și pentru a-l crea!? Exact asta face acest exploit. Folosind peste 70,000 de comenzi de segment care definesc operațiuni logice pe biți, aceștia definesc o arhitectură mică de computer cu caracteristici precum registre și un adunator și comparator complet de 64 de biți pe care îl folosesc pentru a căuta în memorie și a efectua operații aritmetice. Nu este la fel de rapid ca Javascript, dar este echivalent din punct de vedere computațional.”

Toate acestea înseamnă că NSO Group a folosit un codec de imagine care a fost creat pentru a comprima PDF-urile alb-negru, astfel încât să poată obține ceva „echivalent din punct de vedere computațional” cu limbajul de programare care permite web-ul apps pentru a funcționa pe iPhone-ul unei ținte.

„Operațiunile de bootstrapping pentru exploit-ul de evadare sandbox sunt scrise pentru a rula pe acest circuit logic și totul rulează în acest mediu ciudat, emulat, creat dintr-o singură trecere de decompresie printr-un flux JBIG2”, spune Project Zero. „Este destul de incredibil și, în același timp, destul de terifiant.”

Vestea bună: Apple a corectat FORCEDENTRY odată cu lansarea iOS 14.8 și a inclus modificări suplimentare în iOS 15 pentru a preveni atacuri similare. Vestea proastă: Proiectul Zero își împarte analiza tehnică în două postări pe blog și spune că a doua nu este încă terminată.

Dar chiar și doar jumătate din analiză ajută la demistificarea exploitului care a dus la proteste publice, NSO Group fiind trecut pe Lista de Entități de către Departamentul de Comerț al SUA și procesul Apple împotriva companiei. NSO Group a creat Pegasus; acum Project Zero dezvăluie cum a învățat să zboare.