Et meget målrettet malware kampagne målrettet mod iPhone-brugere i Indien er blevet gravet frem af Cisco Talos sikkerhedseksperter. Kampagnen har været aktiv siden august 2015 og udspionerer 13 specifikke iPhones. Angriberne, der var mest sandsynligt opererer fra Indien (selvom forklædt som russere) blev udnytte MDM protokol af indretningerne.
Hvordan blev Angribere Udnyttelse af MDM-protokollen?
Sidstnævnte er et stykke sikkerhedssoftware, der bliver brugt af store virksomheder for at overvåge medarbejdernes enheder. Den MDM protokol er blevet anvendt til at implementere ondsindede operationer af fjernbrugere (angriberne).
Som forklaret af Apple, MDM er designet til Apple Push Notification Service (APNS) at levere et wake-up-besked til en administreret enhed. Indretningen forbinder derefter til en forudbestemt web service til at hente ordrer og returnere resultater.
Virksomheder kan levere den MDM konfigurationsfilen via e-mail eller via en webside for såkaldte over-the-air indskrivning service med hjælp fra Apple Configurator. Når det er installeret, tjenesten tillader virksomhedens administratorer at fjernstyre enheden og installere eller fjerne apps, installere eller tilbagekalde certifikater, låse enheden, ændre adgangskoder, blandt andre aktiviteter.
Det er stadig uvist, hvor angriberne lykkedes at angribe 13 målrettede iPhones. Som forklaret, MDM registreringsproces den er baseret på brugerinteraktion, og forskere har mistanke om, at social engineering teknikker kan have været anvendt til at narre de målrettede brugere.
Det er meget muligt, at angriberne brugte MDM tjeneste at fjernstyre installere modificerede versioner af legitime apps på de målrettede iPhones. De apps er designet til at udspionere brugerne, og høste deres realtid placering, kontakter, billeder, og SMS og private beskeder fra messaging apps. Mere specifikt, til gearing apps såsom telegram og WhatsApp angribere brugte den såkaldte “BOptions sideloading teknik,” som gjorde det muligt for dem at indsprøjte en dynamisk bibliotek i de legitime apps.
“Than injektion bibliotek kan bede om yderligere tilladelser, udføre kode og stjæle oplysninger fra den oprindelige ansøgning, blandt andet,” Cisco Talos forskere forklaret i deres rapport. Alle høstede information fra Telegram og WhatsApp blev sendt til en ekstern server.
Det skal bemærkes, at på det tidspunkt, indpakning op rapporten, Apple havde allerede tilbagekaldt 3 certifikater knyttet til denne kampagne, med annullering resten af certifikaterne efter Cisco Talos meddelt dem af angrebet.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: