Resulta que Apple no estaba al tanto del ataque hasta que los investigadores encontraron evidencia de él en el teléfono de un activista saudí. Apple ha publicado un parche urgente para corregir una vulnerabilidad importante en iMessage que se estaba utilizando para espiar infectando a los usuarios de iPhone. Varios expertos en seguridad han criticado recientemente a Apple por la reciente serie de vulnerabilidades descubiertas.

Citizen Lab detalla en su publicación de blog cómo encontró el día cero. En la publicación, los investigadores escribieron que estaban analizando el iPhone de un activista saudí y determinaron que había sido hackeado con el software espía Pegasus de NSO. 

Los investigadores dijeron que el resultado del ataque era invisible para el usuario, pero pudieron encontrar evidencia que mostraba que iMessage había guardado varios archivos adjuntos que parecían ser archivos GIF, pero en realidad eran archivos PDF y PSD. La evidencia se almacenó en los registros de fallas del iPhone de los activistas, que son detalles de fallas recientes del teléfono, que a veces pueden proporcionar indicios de un ataque.

Este nuevo descubrimiento indudablemente reavivará el debate sobre si Apple está haciendo lo suficiente para proteger a los usuarios contra este tipo de ataques.

Según ha señalado Ivan Krstić, jefe de arquitectura e ingeniería de Apple, la compañía ha identificado y parcheado una vulnerabilidad en iMessage que permitía la instalación de Pegasus, una herramienta utilizada por gobiernos de todo el mundo para espiar a rivales políticos, activistas y periodistas. De acuerdo con el comunicado oficial, tanto iOS 14.8 como iPadOS 14.8 parchean el bug, que "podría haber sido explotado de forma activa".
 

FORCEDENTRY: NSO Group iMessage Zero-Click Exploit

Mientras analizaban el teléfono de un activista saudí infectado con el software espía Pegasus de NSO Group, se descubrió el exploit de día cero sin clics contra iMessage. El exploit, de nombre FORCEDENTRY, apunta a la biblioteca de renderizado de imágenes de Apple y fue efectivo contra dispositivos Apple iOS, MacOS y WatchOS.

    El Citizen Lab reveló la vulnerabilidad y el código a Apple, que asignó la vulnerabilidad FORCEDENTRY CVE-2021-30860 y describe la vulnerabilidad como "procesar un PDF creado con fines malintencionados puede conducir a la ejecución de código arbitrario".

Disponibles iOS 14.8 y iPadOS 14.8

El 13 de septiembre, Apple publica una actualización que incluye el parche CVE-2021-30860. Instamos a todos a los usuarios à actualizar inmediatamente todos los dispositivos Apple.

• https://support.apple.com/en-ca/HT212807

Dispositivos afectados por CVE-2021-30860 por Apple

Todos los iPhones con versiones de iOS anteriores a la 14.8, todas las computadoras Mac con versiones del sistema operativo anteriores a OSX Big Sur 11.6, actualización de seguridad 2021-005 Catalina y todos los relojes Apple anteriores a watchOS 7.6.2.

En marzo de 2021, examinaron el teléfono de un activista saudí que decidió permanecer en el anonimato y determinamos que había sido pirateado con el software espía Pegasus de NSO Group. Durante el transcurso del análisis obtuvieron una copia de seguridad de iTunes del dispositivo.

Un nuevo análisis reciente de la copia de seguridad arrojó varios archivos con la extensión ".gif" en Biblioteca / SMS / Archivos adjuntos que determinamos que se enviaron al teléfono inmediatamente antes de que fuera pirateado con el software espía Pegasus de NSO Group.

27 copias de un archivo idéntico con la extensión “.gif”. A pesar de la extensión, el archivo era en realidad un archivo PSD de Adobe de 748 bytes. Cada copia de este archivo provocó un bloqueo de IMTranscoderAgent en el dispositivo. Cada uno de estos archivos tenía nombres de archivo de diez caracteres que parecían aleatorios.

Cuatro archivos diferentes con la extensión “.gif” que en realidad eran archivos PDF de Adobe que contenían una secuencia codificada en JBIG2. Dos de estos archivos tenían nombres de 34 caracteres y dos tenían nombres de 97 caracteres.

El resultado de la herramienta pdfid en estos cuatro archivos ".gif" fue (NB: la secuencia tenía una longitud variable):

Descubrimiento y divulgación

Debido a que el formato de los archivos coincidía con dos tipos de fallas que habíamos observado en otro teléfono cuando fue pirateado con Pegasus, sospechamos que los archivos “.gif” podrían contener partes de lo que llamamos la cadena de exploits FORCEDENTRY.

Citizen Lab envió los artefactos a Apple el martes 7 de septiembre. El lunes 13 de septiembre, Apple confirmó que los archivos incluían un exploit de día cero contra iOS y MacOS. Designaron el exploit FORCEDENTRY CVE-2021-30860 y lo describen como "el procesamiento de un PDF creado con fines malintencionados puede dar lugar a la ejecución de código arbitrario".

El exploit funciona explotando una vulnerabilidad de desbordamiento de enteros en la biblioteca de renderizado de imágenes de Apple (CoreGraphics). Estamos publicando información técnica limitada sobre CVE-2021-30860 en este momento.

Observamos múltiples elementos distintivos que nos permitieron hacer una atribución de alta confianza a NSO Group:

El software espía instalado por el exploit FORCEDENTRY exhibió un artefacto forense que llamamos CASCADEFAIL, que es un error por el cual la evidencia se elimina de manera incompleta del archivo DataUsage.sqlite del teléfono. En CASCADEFAIL, se elimina una entrada de la tabla ZPROCESS del archivo, pero no las entradas en la tabla ZLIVEUSAGE que hacen referencia a la entrada ZPROCESS eliminada. Solo hemos visto este tipo de eliminación incompleta asociada con el software espía Pegasus de NSO Group, y creemos que el error es lo suficientemente distintivo como para señalar a NSO. El artefacto CASCADEFAIL específico puede ser detectado por

El software espía instalado por el exploit FORCEDENTRY utilizó varios nombres de proceso, incluido el nombre "setframed". Ese nombre de proceso se usó en un ataque con el software espía Pegasus de NSO Group a un periodista de Al Jazeera en julio de 2020. 

Exploits anteriores de NSO Zero-Click

FORCEDENTRY es el último de una serie de exploits vinculados a NSO Group. En 2019, WhatsApp corrigió CVE-2019-3568, una vulnerabilidad de clic cero en las llamadas de WhatsApp que NSO Group usó contra más de 1400 teléfonos en un período de dos semanas durante el cual se observó, y en 2020, NSO Group empleó t El exploit de iMessage con cero clic de KISMET.

Hasta donde sabemos, la vulnerabilidad KISMET nunca se identificó públicamente, aunque sospechamos que la vulnerabilidad subyacente (si aún existe) ya no se puede explotar a través de iMessage debido a la introducción de Apple de la mitigación BlastDoor en iOS14. Sospechamos que NSO Group desarrolló FORCEDENTRY, que elude BlastDoor, en respuesta a esta mitigación.

Conclusiones

A pesar de prometer a sus clientes el máximo secreto y confidencialidad, el modelo de negocio de NSO Group contiene las semillas de su desenmascaramiento continuo. Vender tecnología a gobiernos que utilizarán la tecnología de manera imprudente en violación de las leyes internacionales de derechos humanos, en última instancia, facilita el descubrimiento del software espía por parte de las organizaciones de vigilancia de investigación, como nosotros y otros hemos demostrado en múltiples ocasiones anteriores, y como fue el caso nuevamente aquí.

Un portavoz de NSO escribió en un correo electrónico que "NSO Group continuará brindando a las agencias de inteligencia y de aplicación de la ley de todo el mundo tecnologías que salvan vidas para combatir el terrorismo y el crimen".

Claudio Guarnieri, jefe del Laboratorio de Seguridad de Amnistía Internacional que realizó la investigación del Proyecto Pegasus, escribió en un artículo de opinión reciente que “quizás el próximo otoño, en lugar de un teléfono con una cantidad desagradable de cámaras y píxeles, me gustaría tener un teléfono más asequible , dispositivo accesible y seguro en el que podríamos confiar ".

Fuentes:

https://citizenlab.ca/2021/09/forcedentry-nso-group-imessage-zero-click-exploit-captured-in-the-wild/