Công cụ bảo mật mới nhằm phát hiện tấn công Zero-Click trong chiến dịch APT Operation Triangulation
Phát tán mã độc trên iMessage với Zero-Click
Trước đó vào ngày 1/6/2023, các nhà nghiên cứu của Kaspersky đã phát hiện cuộc tấn công “Operation Triangulation” trên nền tảng di động, nhắm mục tiêu vào các thiết bị iOS bằng phần mềm độc hại chưa từng được biết đến trước đây.
Điểm đặc biệt của cuộc tấn công này là việc phát tán mã độc thông qua các tin nhắn iMessage với tệp đính kèm chứa khai thác Zero-Click. Không cần sự tương tác từ nạn nhân, tin nhắn được gửi sẽ tự động kích hoạt một lỗ hổng zero-day không xác định trên iMessage, dẫn đến thực thi mã để leo thang đặc quyền, điều này cho phép mã độc có thể tải thêm các payload độc hại để từ đó giành quyền kiểm soát hoàn toàn đối với thiết bị và dữ liệu người dùng. Sau khi kích hoạt mã thành công, tin nhắn sẽ tự động bị xóa.
Phần mềm độc hại này sẽ bí mật truyền thông tin cá nhân của nạn nhân đến các máy chủ từ xa do tin tặc kiểm soát, bao gồm bản ghi âm, ảnh từ ứng dụng nhắn tin, định vị vị trí địa lý và dữ liệu về một số hoạt động khác của nạn nhân trên thiết bị.
Kaspersky cho biết các cuộc tấn công này vẫn đang diễn ra và phiên bản iOS mới nhất được xác nhận mục tiêu là iOS 15.7, phát hành vào tháng 9/2022.
Nga quy trách nhiệm tấn công mạng cho tình báo Mỹ
Tiết lộ của Kaspersky được đưa ra cùng ngày khi Cơ quan An ninh Liên bang Nga (FSB) đưa ra các cáo buộc liên quan đến tình báo Mỹ đứng sau các chiến dịch gián điệp tấn công mạng đang diễn ra nhắm vào hàng nghìn thiết bị iOS của các thuê bao trong nước và các cơ quan ngoại giao nước ngoài.
FSB cho biết các thiết bị IPhone của các nhà ngoại giao, nhân viên đại sứ quán của các nước như Trung Quốc, Israel, Syria và Tổ chức Hiệp ước Bắc Đại Tây Dương (NATO) đã bị nhiễm mã độc như một phần hoạt động do thám của các cơ quan tình báo Mỹ. Hiện tại, nguồn gốc chính xác của phần mềm độc hại và người điều phối chiến dịch Operation Triangulation vẫn chưa được biết, do đó phạm vi nhắm mục tiêu và số lượng các nạn nhân cụ thể đến nay vẫn chưa được xác định.
Công cụ rà quét bảo mật mới
Trong báo cáo phân tích ban đầu, Kaspersky đã cung cấp khá nhiều chi tiết về cách kiểm tra thủ công các bản sao lưu thiết bị iOS để tìm các dấu hiệu có thể bị xâm phạm bằng cách sử dụng Bộ công cụ xác minh di động (MVT). Quá trình này mất nhiều thời gian và yêu cầu tìm kiếm thủ công một số loại chỉ báo. Để tự động hóa quy trình này, các nhà nghiên cứu của Kaspersky đã phát triển một công cụ bảo mật chuyên dụng “Triangle_check” để rà quét các bản sao lưu và chạy tất cả các bước kiểm tra, nhằm phát hiện Triangulation tự động.
Vì iOS chỉ có thể được phân tích dưới dạng bản sao lưu và các cơ chế bảo mật khác nhau của Apple (sandbox, code signing, mã hóa dữ liệu) ngăn chặn quá trình phân tích hệ thống trực tiếp. Do đó, trước tiên người dùng cần sao lưu thiết bị iOS theo các bước sau tùy thuộc vào hệ điều hành của họ.
Cách sao lưu thiết bị
Hệ điều hành Windows
Với Windows, cách đơn giản nhẩt để thực hiện sao lưu là thông qua iTunes, người dùng thực hiện như sau:
Bước 1: Kết nối thiết bị của người dùng với máy tính đã cài đặt iTunes. Mở khóa thiết bị và nếu cần, hãy xác nhận tin cậy máy tính của mình.
Cửa sổ yêu cầu tin cậy máy tính
Bước 2: Thiết bị bây giờ sẽ được hiển thị trong iTunes. Nhấp chuột phải vào nó và chọn Backup. Bản sao lưu đã tạo sẽ được lưu vào thư mục “%appdata%\Apple Computer\MobileSync\Backup”.
Tạo bản sao lưu iOS thông qua iTunes
Hệ điều hành Mac
Nếu phiên bản macOS thấp hơn Catalina (10.15), người dùng có thể tạo bản sao lưu bằng iTunes, với cách sử dụng hướng dẫn dành cho Windows. Bắt đầu từ Catalina, các bản sao lưu có thể được tạo thông qua Finder.
Bước 1: Kết nối thiết bị với máy tính.
Bước 2: Thiết bị của người dùng sẽ được hiển thị trong Finder. Chọn nó và sau đó nhấp vào Create a backup.
Bước 3: Bản sao lưu đã tạo sẽ được lưu vào thư mục “~/Library/Application Support/MobileSync/Backup/”.
Hệ điều hành Linux
Bước 1: Cài đặt thư viện “libimobiledevice” tại địa chỉ github: https://github.com/libimobiledevice/libimobiledevice.
Bước 2: Kết nối thiết bị với máy tính và có thể tạo bản sao lưu bằng cách sử dụng lệnh: idevicebackup2 backup --full.
Bước 3: Trong quá trình sao lưu, hãy nhập mật khẩu thiết bị của người dùng theo yêu cầu.
Cách sử dụng công cụ quét bảo mật Triangle_check
Bước tiếp theo là sử dụng công cụ rà quét bảo mật Triangle_check của Kaspersky để phân tích các bản sao lưu iOS. Đối với Windows và Linux, công cụ này có thể được tải xuống dưới dạng bản dựng binary build trên Github; đối với MacOS, công cụ này có thể được cài đặt đơn giản dưới dạng gói package Python.
Gói Python
Người dùng có thể sử dụng câu lệnh sau để tải xuống gói packege Triangle_check: python -m pip install Triangle_check.
Ngoài ra, công cụ này có thể được xây dựng từ GitHub bằng cách thực hiện các câu lệnh sau:
Bước 1: git clone https://github.com/KasperskyLab/triangle_check.git.
Bước 2: cd triangle_check.
Bước 3: python -m build.
Bước 4: python -m pip install dist/triangle_check-1.0-py3-none-any.whl.
Bước 5: python -m Triangle_check path (đường dẫn đến bản sao lưu đã tạo).
Windows Binary
Bước 1: Tải xuống tệp lưu trữ Triangle_check_win.zip từ trang phát hành GitHub tại địa chỉ: https://github.com/KasperskyLab/triangle_check/releases và giải nén nó.
Bước 2: Khởi chạy CMD hoặc PowerShell.
Bước 3: Di chuyển vào thư mục chứa kho lưu trữ đã giải nén, ví dụ: cd %userprofile%\Downloads\triangle_check_win.
Bước 4: Khởi chạy Triangle_check.exe, chỉ định đường dẫn đến bản sao lưu làm đối số, ví dụ: triangle_check.exe "%appdata%\Apple Computer\MobileSync\Backup\00008101-000824411441001E-20230530-143718".
Linux Binary
Bước 1: Khởi chạy terminal, sử dụng câu lệnh sau để tải xuống Triangle_check từ GitHub: wget https://github.com/KasperskyLab/triangle_check/releases/download/v0.0.1/triangle_check_linux.zip.
Bước 2: Giải nén tệp với câu lệnh: unzip triangle_check_linux.zip.
Bước 3: Di chuyển vào thư mục chứa kho lưu trữ đã giải nén, ví dụ: cd ~ /triangle_check_linux.
Bước 4: Cho phép công cụ được thực thi bằng lệnh: chmod +x triangle_check.
Bước 5: Khởi chạy công cụ và chỉ định đường dẫn đến bản sao lưu làm đối số, ví dụ: ./triangle_check ~/Desktop/my_backup/00008101-000824411441001E-20230530-143718.
Khi được khởi chạy và trỏ đến đường dẫn sao lưu iOS, công cụ Triangle_check sẽ hiển thị một trong các kết quả rà quét sau:
- DETECTED: Điều đó có nghĩa là phần mềm độc hại "Operation Triangulation" đã lây nhiễm vào thiết bị.
- SUSPICION: Công cụ đã tìm thấy một số dấu hiệu thỏa hiệp cho thấy khả năng lây nhiễm, nhưng chỉ ở mức độ nghi ngờ và không có đủ bằng chứng để kết luận.
- No traces of compromise were identified: Công cụ không phát hiện thấy bất kỳ dấu hiệu xâm phạm nào.
Hồng Đạt
