Mısır'da ticari gözetim şirketinin kötüye kullandığı 0-day açığı

 (blog.google)
1 puan yazan GN⁺ 2023-09-23 | 1 yorum | WhatsApp'ta paylaş
  • Google TAG ve The Citizen Lab, iPhone'ları hedef alan bir 0-day exploit chain'i gerçek saldırılarda tespit etti; Intellexa bunu Predator casus yazılımını gizlice kurmak için kullandı
  • Apple, iOS 16.7 ve iOS 17.0.1'de CVE-2023-41991·41992·41993 açıklarını yamaladı; Google ise iOS kullanıcılarına derhal güncelleme yapmalarını öneriyor
  • Saldırı, hedef bir HTTP sitesine girdiğinde trafiği MITM enjeksiyonu ile ele geçirip c.betly[.]me ve sec-flare[.]com adreslerine yönlendirme şeklinde çalışıyordu; bu yüzden ayrıca tıklama ya da telefon çağrısına yanıt verme gerekmiyordu
  • iOS zinciri, Safari'de uzaktan kod çalıştırma, sertifika doğrulama sorunu ve XNU Kernel'de yerel ayrıcalık yükseltmeye uzanıyordu; ardından küçük bir ikili dosya tam Predator implantının kurulup kurulmayacağına karar veriyordu
  • Android'e yönelik saldırılar da Mısır'da gözlemlendi; Chrome'daki CVE-2023-4762 ile ilgili ilk renderer uzaktan kod çalıştırma açığı 5 Eylül'de yamalandı

Intellexa'nın Predator kurulumuna yönelik exploit chain'i

  • Google Threat Analysis Group (TAG), The Citizen Lab ile birlikte gerçek saldırılarda kullanılan iPhone'a yönelik bir 0-day exploit chain keşfetti
  • Ticari gözetim şirketi Intellexa tarafından geliştirilen bu zincir, cihazlara Predator casus yazılımını gizlice kurmak için kullanıldı
  • Apple, iOS 16.7 ve iOS 17.0.1 sürümlerinde şu açıkları yamaladı
    • CVE-2023-41991
    • CVE-2023-41992
    • CVE-2023-41993
  • Hızlı yama sayesinde kullanıcı koruması güçlendirildi ve tüm iOS kullanıcılarının bunu mümkün olan en kısa sürede yüklemesi öneriliyor

MITM üzerinden dağıtım yöntemi

  • Intellexa'nın exploit chain'i man-in-the-middle(MITM) saldırısı üzerinden dağıtıldı
  • MITM saldırısında saldırgan, hedef ile hedefin bağlanmak istediği web sitesi arasına girerek trafiği ele geçirir
  • Hedef bir http sitesine girdiğinde saldırgan sahte veri döndürerek onu başka bir web sitesine yönlendirebilir
  • https sitelerinde trafik şifrelenir ve sertifikalar sayesinde alınan verinin amaçlanan web sitesinden gelip gelmediği doğrulanabilir
  • Bu kampanyada hedef hangi http sitesine girerse girsin, trafik enjeksiyonu ile sessizce c.betly[.]me adlı Intellexa sitesine yönlendirildi
    • Kullanıcı beklenen hedefse ardından sec-flare[.]com exploit sunucusuna yeniden yönlendiriliyordu
    • Belge açma, belirli bir bağlantıya tıklama veya telefona yanıt verme gibi kullanıcı eylemleri gerekmiyordu

iOS exploit chain'inin yapısı

  • Hedef exploit sunucusuna yönlendirildiğinde iOS exploit chain'i çalıştırılıyordu
  • Zincir üç açıktan oluşuyordu
    • CVE-2023-41993: Safari'de ilk uzaktan kod çalıştırma (RCE)
    • CVE-2023-41991: sertifika doğrulama sorunu
    • CVE-2023-41992: XNU Kernel'de yerel ayrıcalık yükseltme (LPE)
  • Ardından küçük bir ikili dosya çalıştırılarak tam Predator implantının kurulup kurulmayacağına karar veriliyordu
  • TAG, tam Predator implantını elde edemedi
  • Google, Google vulnerability disclosure policy kapsamında bu exploit'e ilişkin derin teknik analizini yayımlamayı planlıyor

Android'e yönelik saldırılar ve Chrome açığı

  • Saldırganlar, Mısır'daki Android cihazlara Predator kurmak için bir exploit chain'e de sahipti
  • TAG, Android exploit'inin iletildiği iki yöntemi gözlemledi
    • MITM enjeksiyonu
    • Hedefe doğrudan gönderilen tek kullanımlık bağlantı
  • TAG'in elde edebildiği tek bileşen, Chrome'daki ilk renderer uzaktan kod çalıştırma açığıydı ve bu açık CVE-2023-4762'yi kötüye kullanıyordu
  • Söz konusu hata, ayrı bir güvenlik araştırmacısı tarafından daha önce Chrome Vulnerability Rewards Program'a bildirilmişti ve 5 Eylül'de yamalandı
  • Google, Intellexa'nın bu açığı daha önce 0-day olarak kullandığını değerlendiriyor

Chrome'un MITM savunması ve Google'ın yanıtı

  • Chrome, yıllardır web genelinde HTTPS'nin yaygınlaşmasını teşvik ediyor
  • Chrome'un “HTTPS-First Mode”u, MITM ağ enjeksiyonu yoluyla exploit dağıtımı olasılığını azaltabilir
    • Tüm sayfaları önce HTTPS ile yüklemeyi dener
    • HTTP isteğine geri dönmeden önce büyük bir uyarı gösterir
  • Bu ayar, Advanced Protection Program'a kayıtlı ve Chrome'da oturum açmış kullanıcılar için varsayılan olarak etkinleştirilmiştir
  • Google, tüm kullanıcılara MITM saldırılarına karşı korunmak için “HTTPS-First Mode”u etkinleştirmelerini öneriyor
  • Bu kampanya, ticari gözetim şirketlerinin yayılmasının çevrimiçi kullanıcı güvenliği açısından ciddi risk oluşturabileceğini gösteriyor
  • TAG, ticari casus yazılım endüstrisine yönelik önlemler ve araştırma yayınlarını sürdürmeyi, ayrıca kamu ve özel sektörle iş birliği içinde ilgili karşı adımlara devam etmeyi planlıyor

İlgili okumalar

1 yorum

 
GN⁺ 2023-09-23
Hacker News görüşleri

  • Daha fazla bilgi çıkmış olması iyi, ancak yalnızca Chrome yamasından bahsedilmesi biraz endişe verici. Android’de sandbox’tan çıkışın ne olduğu merak ediliyor.
    Chrome süreci içinde kod çalıştırma mümkün hale gelmiş olsa bile, kalıcılık sağlanabiliyorsa bunun mümkün olmaması gerekir; dolayısıyla ortada kesinlikle başka bir açık daha var.
    Bu saldırı vektörü hedefli kampanyada HTTP ortadaki adam saldırısı ve tek kullanımlık bağlantıyla kullanılmış olsa da, birinin bunu reklam kampanyalarına ya da SMS/Discord/Matrix benzeri spam’lere koyup kitlesel olarak yayarak botnet kurmasını veya kullanıcı kimlik bilgilerini çalmasını engelleyen bir neden de yok gibi görünüyor.

    • Asıl kilit nokta gerçekten bu. Blog yazısında bu bilgi eksik olduğu için satır aralarını okumak gerekiyor ama Android tarafında şu anda yamanmamış bir sorun varmış gibi geliyor.
    • Sonraki Android zincirinin adımlarını yakalayamadıkları, yalnızca ilk yürütme bileşenini ele geçirdikleri yazıyor.
      Yani sandbox’tan çıkış ve yetki yükseltme hatası eksik demek.
      Ayrıca burada bunun yasal dinleme işlevinden yararlanan ISP düzeyinde bir ortadaki adam saldırısıyla teslim edildiği anlaşılıyor, ama bu exploit’in phishing bağlantısı üzerinden tek tıkla dağıtılmaması için de bir neden yok.
    • Üreticilerin terk ettiği yüz milyonlarca Android cihaz var; bu yüzden henüz yamalanmamış ve muhtemelen hiç yamalanmayacak bir kusur söz konusu olduğundan bazı ayrıntıları atlıyor olabilirler.
    • Yazının odağı iPhone exploit zinciri: Safari exploit’i → PAC atlatma → kernel exploit’i.
      Android sürümü de epey benzerdi, ancak Linux kernel azaltım tekniklerini aşmak için sanırım iki exploit daha gerekiyordu.
      PZ’de iyi bir teknik analiz yazısı var.
    • Mobil ortamı çok iyi bilmiyorum ama Chrome sandbox’ından çıkınca temel işletim sisteminin içine girilmiş olmuyor mu? Oradan ek açıklar sömürülmeden kalıcılık oluşturulamıyor mu?

  • HTTPS olmamasındansa olması daha iyi ve bu saldırı ilk yükün enjekte edilmesi için HTTP kullanıyor, ancak bazı ülkelerde devlet destekli saldırganlar CA veya CDN altyapısını doğrudan aşabiliyor ya da ele geçirebiliyor da olabilir.

    • Sertifikaları o şekilde sahtelemek tüm tarayıcıların bunu fark edip ilgili CA’yı kaldırmasına yol açma ihtimali yüksek olduğundan, buna karşı bazı korumalar var.
    • Ya da hepimizin sevgilisi LetsEncrypt tarafından onaylanmış bir spoofing domaine tıklamanız sağlanabilir.
      Görünüşe göre gereken tek şey, istemciyi c.betly[.]me adresine yönlendiren bir HTTP 302/307 redirect yanıtı. HTML redirect yükü, belki hatta DNS de mümkün olabilir.
    • Önemli nokta, cihazı ele geçirmek için herhangi bir HTTP sitesine bir kez girmenin yeterli olmuş ya da yeterli olabilecek olması.

  • Predator casus yazılımını ele alan Darknet Diaries’in yakın tarihli ilgili bir bölümü var: https://darknetdiaries.com/episode/137/

  • Bu tür 0-day’lerin öğrettiği şey, güçlü bir düşmanın hedefi haline gelen birinin son derece paranoyak davranması ve saldırı yüzeyini mümkün olduğunca küçültmesi gerektiği.
    James Bond’un M ile güvenli iletişim kurması gerekiyorsa, yalnızca o işi yapan özel yapım, cihaz tipi bir mobil aygıt kullanması daha iyi olur. Anonim üçüncü taraf ön ödemeli bir cihazla, rastgele ilan panolarına önceden uzlaşılan döngüsel coğrafi kilitli kod kitabı sırasına göre şifrelenmiş mesajlar bırakması gerekir. Operasyonel güvenlik bunun biraz altına düşerse iş biter.
    Sıradan bir insan bağlı dijital cihazları sıradan biçimde kullanıyorsa, o cihaza koyduğu her şeyin zaten çalındığını varsaymalıdır. Bir şeyi gerçekten özel tutmak istiyorsa dijitale hiç koymamalı, kağıtta ya da eski usul analog bant gibi şeylerde tutmalı. O zaman en azından fiziksel olarak çalınması gerekir; bu da duruma göre çok daha zor olabilir ama mutlaka daha güvenli olduğu anlamına gelmez. Sonuçta iki tarafta da kaybedersiniz.
    Tek gerçek çıkış yolu, şeffaflıkla denge-denetleme mekanizmalarının güçlü işlediği demokratik hükümetler, güçlü biçimde uygulanan veri gizliliği yasaları ve Citizen Lab gibi faaliyetlere güçlü destek olmasıdır.

  • Bu açığın, mevcut Cumhurbaşkanı Abdel Fatah El Sisi’ye karşı seçimde yarışan Ahmed El Tantawy’nin telefonunu hacklemek için Mısır makamlarınca kullanılmış olma ihtimali yüksek.
    https://x.com/jsrailton/status/1705271600868692416?s=46&t=Kq...

  • Yazıda geçmiyor ama iOS’taki Lockdown Mode bu exploit zincirini engellemiş.

  • Anlamadığım bir nokta var: Hem casus yazılım şirketlerinin hem de 0-day satan şirketlerin 0-day bulmak için özel ekipleri var. Google ve Apple neden gidip bu insanları topluca transfer etmiyor?
    Google ve Apple çok rekabetçi maaşlar verebilir gibi görünüyor; neden bunu yapmadıklarını merak ediyorum. Gerçekten yetkin 0-day avcılarının neredeyse tamamını kapmanın maliyetinin, sadece yama çıkarmanın maliyetinden daha yüksek olduğuna mı karar veriyorlar?

    • Tam olarak bunu yapan biriyim. 0-day araştırmacısı olarak çalışıyorum.
      Çalışan açısından maaşlar benzer. Big Tech’teki iş daha az ilginç. Çok sayıda hata bulan büyük hata avlama makineleri kuruyorsunuz; bulduğunuz hataları bug tracker’a koyuyorsunuz ve belki ancak 3 ay sonra düzeltiliyor. Saldırı güvenliği tarafındaki iş daha ilginç. Yüzeysel açıkları Big Tech buluyor, dolayısıyla gereken şey az sayıda ama araştırılan sistemleri derinlemesine anlamak. Açıklardan kod çalıştırmaya giden bilgi de gerekiyor. Exploit yazmak kolay iş değil. Benim ahlaksız bulduğum şirketlerde mühendislerin neden çalıştığını açıklamak zor ama muhtemelen onlar benimle aynı şekilde hissetmiyor.
      İşveren açısından mesele, “yılda X açık bulma oranı için ne kadar harcamaya değer” sorusu. Kodda hatalar olsa bile piyasadaki en güvenli kod olarak görülüyorsa, güvenlik bütçesini artırmak şirkete fayda sağlamayabilir. Güvenlik bütçesi artırılırsa hangi bölümün bütçesi kısılacak, şirketin genel sağlığına net etkisi ne olacak, buna bakmak gerekir.
      Açıkları düzeltmek istiyorsanız, açık bulup exploit etmenin fiyatını alıcıların karşılayamayacağı kadar yükseltmeniz gerekir. Ve saldırı güvenliğindeki ilerleme bulma ve exploit maliyetini düşürdükçe bu fiyatı da sürekli daha yüksekte tutmanız gerekir. Savunma şirketleri esas olarak hata önleyerek para kazanmazken, saldırı şirketleri esas olarak hata bularak para kazanır; uyumsuzluk buradan doğar. Şirket olsun başka bir kurum olsun, nihai açık her zaman sınırlı kaynaklardır.
    • Google’da para ve itibarla kurulabilecek en üst düzey ekiplerden biri zaten var: https://en.m.wikipedia.org/wiki/Project_Zero
      Dünyanın dört bir yanındaki bağımsız araştırmacılarla işbirliği de çok iyi. Ama her gün yazılan yazılım miktarı düşünülünce yine de bazı sorunların gözden kaçması kaçınılmaz.
    • Bu, ABD hükümetinin bütçesine bakıp “neden potansiyel suçluların hepsini satın alıp ABD’deki suçların çoğunu azaltmıyorlar?” diye sormaya benziyor.
    • Bunların bir kısmı, maaştan bağımsız olarak baştan beri Google ya da Apple’da çalışmak istemiyor olabilir.
      Bugün onları transfer etseniz bile yarın böyle şirketlerde çalışan yeni insanlar çıkacaktır; bu da sonsuz bir döngü olur.
    • Güzel fikir ama bir bakıma “neden dünyanın en zengin ülkesi dünyanın en iyi generallerinin hepsini işe alıp başka ülkelere hiç bırakmıyor?” sorusuna benzeyen bir bilmece.
      Bunun imkansız olmasının pek çok nedeni var ama sonuçta mesele, dünyanın ve insanlığın tek bir öznenin her şeyi, hatta çoğunu bile elinde tutamayacağı kadar büyük ve karmaşık olması. Paranın ötesinde çok sayıda dünya görüşü ve sadakat var.

  • Firefox’ta da Https First var ama görünüşe göre dom.security.https_first ayarını açmak gerekiyor.
    Mümkünse “HTTPS-Only Mode” kesinlikle en iyisi.

    • Yine de “neyse, izin ver”e basma dürtüsüne direnmek gerekiyor. Dürüst olmak gerekirse riski bilsem bile ben bile basardım; çünkü sadece o siteyi ziyaret etmek istiyorum.
      Uyarı aşırı derecede şüpheli görünmediği sürece, örneğin HTTPS desteklediğini bildiğiniz Google.com gibi bir sitede çıkmıyorsa, bu aslında hiçbir şeyi çözmüyor.

  • Bu yazının bağlantı verdiği Citizen Lab gönderisinde ortadaki adam saldırısı ayrıntıları var. Hatta buna saldırı demek bile garip; ağ, ihtiyaç duyulduğunda içerik enjekte edecek şekilde tasarlanmış gibi.