La característica, probablemente incluida para depuración o pruebas por ingenieros de Apple o accidentalmente añadida a la versión para consumidores, permitió a los atacantes eludir protecciones y secuestrar dispositivos. Esta vulnerabilidad fue explotada en ataques dirigidos a los iPhones de altos empleados de Kaspersky.
Durante el 37° Congreso de Comunicación del Caos en Hamburgo, los investigadores presentaron sus hallazgos, explicando que se explotaron múltiples vulnerabilidades zero-day de iOS. Estas incluyeron un problema de ejecución remota de código (RCE) en la instrucción TrueType font ADJUST de Apple (CVE-2023-41990) y un bypass de protecciones de seguridad basadas en hardware (CVE-2023-38606). Las vulnerabilidades atacaron iPhones con versiones hasta iOS 16.6, con CVE-2023-38606 permitiendo que un exploit de JavaScript eludiera la Capa de Protección de Páginas.
Los atacantes utilizaron adjuntos maliciosos de iMessage para explotar un zero-day de ejecución remota de código y desplegar el spyware TriangleDB sin interacción del usuario. La cadena de infección involucró múltiples controles y acciones de borrado de registros para prevenir la identificación del malware. Los investigadores la llamaron la cadena de ataque más sofisticada que jamás habían presenciado.
La característica oscura permitió anular la seguridad basada en hardware para proteger el kernel. Los atacantes explotaron registros MMIO del coprocesador de GPU, eludiendo los rangos de DeviceTree de Apple para escribir en memoria, eludir protecciones y lograr un RCE.
Apple respondió lanzando actualizaciones de seguridad para abordar cuatro vulnerabilidades zero-day que afectan varios productos de Apple. Sin embargo, quedan preguntas sobre el propósito de la característica, cómo los atacantes aprendieron a usarla y si fue desarrollada por Apple o un componente de terceros.
Source: HackRead
Para mitigar posibles amenazas, es importante implementar medidas adicionales de ciberseguridad con la ayuda de un socio de confianza como INFRA www.infrascan.net o puede intentarlo usted mismo utilizando check.website.