Kasperskyのグローバル調査分析チーム「GReAT」は、2023年6月に調査結果を発表したiOSデバイスを標的にしたモバイル向けAPT攻撃活動「Operation Triangulation」に関する詳細を明らかにした。
攻撃の対象者は、iMessage経由でゼロクリック・エクスプロイトを含んだファイルを添付したメッセージを受信し、同メッセージは特権昇格のコード実行につながる脆弱性を引き起こして、マルウェアに感染したデバイスを完全に制御できるようにするとのこと。マイクの録音、位置情報を取得するほか、感染デバイスの所有者の様々な活動に関連するデータを、攻撃者が指定するリモートサーバーに密かに送信し、主な目的は、ユーザーを秘密裏に監視することだとみているという。
この攻撃手法の複雑さとiOSエコシステムの特性から、同社セキュリティリサーチ部門を横断した専門タスクフォースを立ち上げ、技術解析を実施。調査の過程で、この一連の攻撃チェーンで使用されていたiOSの5つの脆弱性を特定したという。このうち4つは、それまで知られていなかったゼロデイ脆弱性（CVE-2023-32434、CVE-2023-32435、CVE-2023-38606、CVE-2023-41990）で、セキュリティアップデートがリリースされているとのこと。これらの脆弱性は、iPhone、iPod、iPad、macOSデバイス、Apple TV、Apple Watchを含む多くのApple製品に影響を及ぼしたとしている。
最初の侵入口として、フォント処理用ライブラリの脆弱性が使われており、2つ目の脆弱性はメモリマッピングのコードに存在し、極めて強力で容易に悪用できるものだった。この脆弱性を利用してデバイスの物理メモリにアクセスでき、攻撃者はさらに2つの脆弱性を悪用して、Appleの最新プロセッサのハードウェアセキュリティ機能を回避していた。
また、攻撃者が、iMessageを通じてユーザーとやりとりすることなくAppleデバイスをリモートで感染させる方法に加えて、ウェブブラウザーのSafari経由で攻撃を実行するためのプラットフォームを用意していたことも突き止めたとのこと。このことがきっかけで5つ目の脆弱性を発見し、報告後にAppleがパッチを提供しているという。
［画像クリックで拡大表示］
【関連記事】
・Kaspersky、東欧の製造業へのサイバー攻撃を調査 クラウドインフラ利用した3つの攻撃段階を発見
・3つの新たなマルウェアの感染手法をKasperskyが発見 貨物船の運航会社も標的に
・Kaspersky、WG6としてICTサプライチェーンセキュリティ強化に関する手段を共同報告
