Занимательная история о поддельном Carrier.app

Иэн Бир из Google Project Zero проанализировал вредоносное приложение для iPhone, которое было загружено на устройство с помощью корпоративного сертификата. Приложение содержало шесть эксплоитов для повышения привилегий, пять из которых были хорошо известными и общедоступными. Однако, шестой эксплоит был неизвестным и не соответствовал типичной структуре других эксплоитов. Неизвестный эксплоит, похоже, проверял, работает ли он на iPhone 12 или 13, и содержал сообщения журнала, которые свидетельствовали о том, что он ждал read/write примитивов. Более тщательный анализ показал, что эксплоит взаимодействовал с Display Co-Processor (DCP), сопроцессором, который запускает собственное фирменное программное обеспечение и имеет интерфейс удаленных вызовов процедур. DCP является сравнительно неизвестным компонентом, но проект Asahi Linux разобрал API для общения с ним. Однако они были ограничены использованием фирменного программного обеспечения DCP от Apple, что ограничивало их понимание внутреннего устройства DCP. Бир получил образ фирменного программного обеспечения DCP из системного образа iPhone и обнаружил, что это было Mach-O двоичное файл, полностью удаленное, что делало его трудным для понимания. Он отметил, что компрометация DCP может привести к значительным последствиям, учитывая ее потенциальный доступ к системным ресурсам. Анализ неизвестного эксплоита и DCP продолжается, и находки Бира подчеркивают сложность и вызовы понимания современных систем-на-кристалле (SoC) архитектур. Открытие DCP и его потенциальных уязвимостей вызывает беспокойство по поводу безопасности устройств Apple и необходимости в проведении дополнительных исследований и анализа. Малicious app, вероятно, распространялось через фишинговую кампанию, где атакующий бы попросил оператора отключить мобильное соединение цели и отправить ссылку на фальшивое приложение по SMS. Приложение было подписано корпоративным сертификатом, что позволило ему обойти процесс проверки в App Store Apple. Инцидент подчеркивает риски загрузки приложений извне и потенциал для злоумышленников эксплуатировать уязвимости в устройствах Apple. Он также подчеркивает важность проведения непрерывных исследований и анализа для выявления и преодоления потенциальных угроз безопасности.