가짜 Carrier.app의 기묘한 이야기

구글 프로젝트 제로의 이안 비어(Ian Beer)는 엔터프라이즈 인증서를 사용하여 디바이스에 사이드로드된 악성 아이폰 앱을 분석했습니다. 이 앱에는 특권 상승 공격을 위한 6개의 익스플로잇이 포함되어 있었는데, 그 중 5개는 잘 알려져 있고 공개적으로 사용할 수 있는 익스플로잇이었습니다. 그러나 6번째 익스플로잇은 알려지지 않았으며 다른 익스플로잇의 일반적인 구조를 따르지 않았습니다. 알려지지 않은 익스플로잇은 아이폰 12 또는 13에서 실행 중인지 확인하는 것처럼 보였으며, 읽기/쓰기 원시 함수를 기다리는 것처럼 보이는 로그 메시지를 포함하고 있었습니다. 추가 분석 결과, 익스플로잇은 디스플레이 코프로세서(DCP)와 상호 작용하는 것으로 나타났습니다. DCP는 자체 펌웨어를 실행하고 원격 프로시저 호출 인터페이스를 갖춘 코프로세서입니다. DCP는 상대적으로 알려지지 않은 구성 요소이지만, 아사히 리눅스 프로젝트는 DCP와 통신하기 위한 API를 역공학적으로 분석했습니다. 그러나 그들은 애플의 DCP 펌웨어를 사용하는 데 제한되어 있었기 때문에 DCP 내부를 완전히 이해할 수 없었습니다. 비어는 아이폰 시스템 이미지에서 DCP 펌웨어 이미지를 얻었고, 이는 완전히 제거된 Mach-O 바이너리였기 때문에 이해하기 어렵다는 것을 발견했습니다. 그는 DCP를 손상시키는 것이 시스템 리소스에 대한 잠재적인 액세스를 고려할 때 상당한 결과를 초래할 수 있음을 주목했습니다. 알려지지 않은 익스플로잇과 DCP에 대한 분석은 진행 중이며, 비어의 발견은 시스템 온 칩(SoC) 아키텍처를 이해하는 복잡성과 도전을 강조합니다. DCP의 발견과 잠재적인 취약점은 애플 디바이스의 보안과 추가 연구 및 분석의 필요성을 우려하게 만듭니다. 악성 앱은 가장 가능성이 높은 배포 방법은 피싱 캠페인입니다. 공격자는 대상의 모바일 데이터 연결을 비활성화하도록 통신사에 요청한 다음 가짜 앱의 링크를 SMS로 전송합니다. 앱은 엔터프라이즈 인증서로 서명되었기 때문에 애플의 앱 스토어 검토 프로세스를 우회할 수 있었습니다. 이 사건은 앱을 사이드로드하는 위험과 애플 디바이스의 취약점을 악용할 수 있는 악의적인 행위자의 가능성을 강조합니다. 또한 잠재적인 보안 위협을 식별하고 완화하기 위해 지속적인 연구와 분석의 중요성을 강조합니다.