搜索

[10442] 2016-08-29_iOS“远程越狱”间谍软件Pegasus技术分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-08-29_iOS“远程越狱”间谍软件Pegasus技术分析 i O S “ 远 程 越 狱 ” 间 谍 软 件 P e g a s u s 技 术 分 析 v u l t u r e   F r e e B u f   2 0 1 6 - 0 8 - 2 9 上 周 苹 果 紧 急 发 布 了 上 周 苹 果 紧 急 发 布 了 i O S   9 . 3 . 5 ， 修 复 了 三 ， 修 复 了 三 个 个 0 d a y 漏 洞 ， 这 漏 洞 ， 这 3 个 漏 洞 能 让 攻 击 者 对 个 漏 洞 能 让 攻 击 者 对 全 球 范 围 内 的 全 球 范 围 内 的 i P h o n e 进 行 监 听 进 行 监 听 。 。 这 三 个 漏 洞 被 爆 出 的 起 因 是 因 为 以 为 阿 联 酋 的 人 权 活 动 人 士 在 8 月 1 0 日 、 1 1 日 ， 分 别 收 到 的 两 条 短 信 ， 短 信 中 附 有 链 接 ， 短 信 称 链 接 网 站 里 包 含 囚 犯 在 阿 联 酋 遭 受 虐 待 的 “ 新 秘 密 ” 。 实 际 上 这 位 人 权 活 动 人 士 对 这 种 包 含 链 接 的 短 信 已 经 见 怪 不 怪 ， 因 此 他 没 有 点 击 链 接 ， 而 是 立 即 把 短 信 转 发 给 了 L o o k o u t 和 公 民 实 验 室 的 研 究 人 员 。 L o o k o u t 公 司 的 研 究 人 员 通 过 研 究 发 现 ， 用 户 点 击 短 信 内 的 链 接 后 ， 攻 击 者 就 会 利 用 3 个 0 d a y 漏 洞 ， 对 用 户 手 机 “ 远 程 越 狱 ” 。 然 后 安 装 间 谍 软 件 ， 随 后 就 能 对 设 备 进 行 全 面 控 制 ， 还 能 获 取 设 备 中 的 数 据 ， 通 过 麦 克 风 监 听 对 话 ， 跟 踪 即 时 通 讯 应 用 的 对 话 内 容 等 。 L o o k o u t 公 司 把 这 款 恶 意 软 件 命 名 为 P e g a s u s ， 并 对 其 技 术 细 节 进 行 了 分 析 。 攻 击 过 程 攻 击 过 程 P e g a s u s 的 可 怕 之 处 在 于 ， 攻 击 过 程 基 本 不 需 要 用 户 交 互 ， 用 户 所 要 做 的 仅 仅 是 点 击 一 个 链 接 ， 接 着 ， 攻 击 者 就 可 以 静 默 地 传 送 p a y l o a d ， 然 后 远 程 越 狱 ， 安 装 间 谍 软 件 。 用 户 唯 一 能 感 知 到 的 情 况 就 是 点 击 链 接 之 后 ， 浏 览 器 自 动 关 闭 了 。 间 谍 软 件 中 包 含 恶 意 代 码 、 进 程 和 用 于 监 控 用 户 行 为 并 进 行 反 馈 的 a p p 。 这 款 间 谍 软 件 能 够 获 取 系 统 内 置 软 件 中 的 短 信 、 通 话 记 录 、 邮 件 、 日 志 ， 还 有 下 列 a p p 中 的 信 息 ： G m a i l F a c e t i m e F a c e b o o k L i n e M a i l . R u 日 历 微 信 S u r e s p o t T a n g o
W h a t s A p p V i b e r S k y p e T e l e g r a m 实 际 上 ， i O S 的 安 全 机 制 并 不 允 许 应 用 相 互 监 控 ， 但 是 可 以 在 越 狱 的 设 备 上 安 装 用 户 监 控 的 h o o k 。 P e g a s u s 就 是 利 用 了 远 程 越 狱 和 h o o k 。 P e g a s u s 将 它 的 动 态 库 插 入 到 设 备 里 的 针 对 正 规 进 程 中 。 这 些 动 态 库 之 后 就 会 使 用 C y d i a   M o b i l e   S u b s t r a t e 框 架 去 h o o k 应 用 。 简 要 来 说 ， 攻 击 共 分 为 三 个 阶 段 ： 第 一 阶 段 第 一 阶 段 ： 传 送 并 利 用 W e b K i t 漏 洞 ， 通 过 H T M L 文 件 利 用 W e b K i t 中 的 C V E - 2 0 1 6 - 4 6 5 5 漏 洞 。 第 二 阶 段 第 二 阶 段 ： 越 狱 。 在 第 一 阶 段 中 会 根 据 设 备 （ 3 2 / 6 4 位 ） 下 载 相 应 的 ， 经 过 加 密 混 淆 的 包 。 每 次 下 载 的 包 都 是 用 独 一 无 二 的 k e y 加 密 的 。 软 件 包 内 包 含 针 对 i O S 内 核 两 个 漏 洞 ( C V E - 2 0 1 6 - 4 6 5 6 和 C V E - 2 0 1 6 - 4 6 5 7 ) 的 e x p 还 有 一 个 用 来 下 载 解 密 第 三 阶 段 软 件 包 的 l o a d e r 。 第 三 阶 段 第 三 阶 段 ： 安 装 间 谍 软 件 。 经 过 了 第 二 阶 段 的 越 狱 ， 第 三 阶 段 中 ， 攻 击 者 会 选 择 需 要 监 听 的 软 件 ， 把 h o o k 安 装 到 应 用 中 。 另 外 ， 第 三 阶 段 还 会 检 查 设 备 之 前 有 没 有 通 过 其 他 方 式 越 狱 过 ， 如 果 有 ， 则 会 移 除 之 前 越 狱 后 开 放 的 系 统 访 问 权 限 ， 如 s s h 。 软 件 还 有 一 个 “ 故 障 保 险 “ ， 如 果 检 测 到 设 备 满 足 某 些 条 件 ， 软 件 就 会 自 毁 。 第 三 阶 段 中 ， 间 谍 会 部 署 一 个 t e s t 2 2 2 . t a r 文 件 ， 这 是 一 个 t a r 包 ， 包 中 包 含 各 种 实 现 各 种 目 的 的 文 件 ， 如 实 现 中 间 人 攻 击 的 根 T L S 证 书 、 针 对 V i b e r 、 W h a t s a p p 的 嗅 探 库 、 专 门 用 于 通 话 录 音 的 库 等 。 攻 击 影 响 的 系 统 范 围 非 常 广 泛 ， 从 i O S   7 . 0 以 上 直 至 8 月 8 日 发 布 的 9 . 3 . 4 都 受 到 波 及 。 “ T r i d e n t “ 漏 洞 详 情 漏 洞 详 情 C V E - 2 0 1 6 - 4 6 5 7 :   S a f a r i   W e b k i t 内 存 损 坏 。 S a f a r i   W e b k i t 中 存 在 一 个 漏 洞 ， 能 够 执 行 任 意 代 码 。 P e g a s u s 会 利 用 这 个 漏 洞 获 取 S a f a r i 浏 览 器 内 的 代 码 执 行 权 限 。 C V E - 2 0 1 6 - 4 6 5 5 :   内 核 信 息 泄 露 K A S L R 保 护 绕 过 漏 洞 在 P e g a s u s 进 行 越 狱 之 前 ， 它 首 先 得 确 定 内 存 中 内 核 的 位 置 。 苹 果 系 统 中 的 K A S L R 保 护 就 是 把 内 核 映 射 到 不 可 预 测 的 内 存 地 址 ， 以 起 到 保 护 的 作 用 。 但 是 在 这 个 漏 洞 中 ， 攻 击 者 使 用 一 个 函 数 调 用 ， 这 个 函 数 会 在 返 回 值 中 返 回 没 有 经 过 混 淆 的 内 存 地 址 。 C V E - 2 0 1 6 - 4 6 5 6 :   内 核 内 存 损 坏 （ 用 于 越 狱 ） 最 后 这 个 漏 洞 用 于 越 狱 。 漏 洞 基 于 内 核 中 的 内 存 损 坏 漏 洞 。 针 对 i O S 各 版 本 的 不 同 ， e x p 也 各 有 不 同 。 这 个 漏 洞 非 常 复 杂 ， 因 此 ， L o o k o u t 需 要 进 一 步 研 究 ， 之 后 会 发 表 更 详 细 的 报 告 。
越 狱 过 程 越 狱 过 程 关 闭 内 核 安 全 保 护 ， 关 闭 代 码 签 名 机 制 重 新 挂 载 系 统 分 区 清 理 S a f a r i 缓 存 （ 为 了 清 理 痕 迹 ） 写 入 越 狱 有 关 文 件 ( / s b i n / m o u n t _ n f s ) 第 二 阶 段 结 束 时 ， e x p 会 移 除 / e t c / n f s . c o n f ， 然 后 加 载 / s b i n / m o u n t _ n f s 。 为 了 在 重 启 之 后 依 然 留 在 系 统 中 ， P e g a s u s 会 把 系 统 守 护 进 程 r t b u d d y d 替 换 成 一 个 j s c 二 进 制 文 件 ， 并 且 创 建 一 个 链 接 到 a s c r i p t 。 软 件 分 析 软 件 分 析 保 护 功 能 保 护 功 能 P e g a s u s 应 该 是 L o o k o u t 调 查 过 的 最 复 杂 精 妙 的 间 谍 软 件 了 。 它 采 用 非 常 新 颖 的 方 法 安 装 、 隐 藏 自 己 、 驻 足 系 统 。 一 旦 安 装 成 功 ， 这 个 软 件 就 会 采 用 各 种 方 法 来 隐 藏 自 己 ， 防 止 被 发 现 。 它 还 会 调 用 大 量 函 数 收 集 数 据 、 截 获 短 信 和 电 话 。 安 装 安 装 第 三 阶 段 时 ， 软 件 会 运 行 一 个 l w - i n s t a l l 二 进 制 文 件 ， 这 个 文 件 包 含 很 多 关 键 架 构 ， 并 且 能 在 用 户 重 启 之 后 仍 然 驻 足 系 统 ， 良 心 的 是 其 中 还 有 一 些 保 护 功 能 ， 防 止 用 户 手 机 变 砖 。 l w - i n s t a l l 首 先 会 检 查 i O S 版 本 ， 对 于 不 同 的 版 本 ， l w - i n s t a l l 会 执 行 不 同 的 命 令 。 在 i O S   9 上 ， 它 会 对 / L i b r a r y / L a u n c h D a e m o n s 中 的 p l i s t 文 件 执 行 “ / s b i n / l a u n c h c t l   l o a d ” ， L a u n c h D a e m o n s 目 录 一 般 是 空 的 ， 如 果 用 户 之 前 已 经 越 狱 ， 这 里 就 会 存 放 一 些 l a u n c h d   p l i s t 文 件 ， 目 的 是 让 这 些 文 件 在 重 启 之 后 能 够 运 行 。 J S C 权 限 提 升 权 限 提 升 P e g a s u s 会 通 过 j s c 来 做 到 驻 足 系 统 的 目 的 。 j s c 是 一 个 开 发 者 工 具 ， 主 要 是 用 于 让 用 户 能 够 在 浏 览 器 环 境 外 使 用 W e b K i t 引 擎 执 行 j s 代 码 。 为 了 能 够 驻 足 系 统 ， P e g a s u s 会 把 r t b u d d y d 守 护 进 程 替 换 成 一 个 j s c 的 副 本 （ 经 过 签 名 ， 能 够 运 行 代 码 ） 。 设 备 重 启 后 ， r t b u d d y d 会 加 载 – e a r l y - b o o t ， 这 是 c o m . a p p l e . i t u n e s s t o r e d . 2 . c s t o r e 文 件 的 链 接 。 c o m . a p p l e . i t u n e s s t o r e d . 2 . c s t o r e 文 件 跟 C V E - 2 0 1 6 - 4 6 5 5   e x p 的 结 构 相 似 。 它 能 够 在 系 统 每 次 重 启 之 后 重 新 加 载 s h e l l c o d e ， 攻 击 内 核 。 P e g a s u s 有 很 多 保 证 私 密 的 功 能 ， 他 会 经 常 检 查 手 机 有 没 有 被 其 他 软 件 越 狱 ， 甚 至 还 包 含 一 个 复 杂 的 自 毁 机 制 ：
禁 止 更 新 禁 止 更 新 检 测 越 狱 检 测 越 狱 C & C 服 务 器 通 信 服 务 器 通 信 P e g a s u s 联 系 C & C 服 务 器 的 手 段 非 常 隐 蔽 ， 如 下 图 所 示 ：
这 看 似 是 来 自 G o o g l e 的 密 码 重 置 短 信 ， 实 际 上 含 有 来 自 C & C 服 务 器 的 指 令 。 P e g a s u s 能 够 接 收 5 种 类 型 的 指 令 ， 验 证 码 的 最 后 一 位 就 是 指 令 的 I D ， 在 本 例 中 ， 指 令 I D 就 是 9 。 之 所 以 使 用 短 信 ， 是 因 为 P e g a s u s 能 够 在 没 有 网 络 的 情 况 下 接 收 指 令 。 如 果 C 2 服 务 器 下 线 了 ， 这 种 使 用 短 信 的 方 法 仍 然 能 够 让 攻 击 者 发 送 信 息 ， 告 诉 受 害 者 手 机 新 的 C 2 服 务 器 地 址 。 数 据 收 集 数 据 收 集 手 机 中 各 个 通 信 软 件 都 有 专 门 的 处 理 模 块 能 够 窃 取 其 中 的 信 息 ， 这 些 软 件 包 括 ： S M S / i M e s s a g e 日 历 通 讯 录 G m a i l V i b e r F a c e b o o k W h a t s A p p T e l e g r a m S k y p e L i n e K a k a o 微 信 S u r e s p o t I m o . i m M a i l . R u T a n g o V K O d n o k l a s s n i k 除 此 之 外 ， P e g a s u s 还 会 收 集 其 他 各 种 信 息 ， 其 中 包 括 ： G P S 位 置 信 息 用 户 输 入 的 密 码 W i F i 密 码 进 程 注 入 进 程 注 入 为 了 实 时 截 获 W h a t s A p p 、 V i b e r 等 应 用 的 电 话 ， P e g a s u s 会 使 用 一 个 库 ， 动 态 注 入 到 他 们 的 进 程 空 间 。 这 是 基 于 c o n v e r t e r 二 进 制 文 件 ： h t t p s : / / g i t h u b . c o m / r - p l u s / s u b s t r a t e / b l o b / m a s t e r / c y n j e c t . c p p 这 个 库 会 将 进 程 P I D 作 为 参 数 ， 用 M a c h   k e r n e l   A P I 注 入 动 态 库 到 进 程 中 。 c o n v e r t e r 的 用 法 如 下 ： W h a t s A p p 对 于 各 种 通 信 应 用 ， P e g a s u s 都 有 特 别 的 方 式 进 行 监 听 ， 对 于 部 分 应 用 ， 如 S k y p e 和 T e l e g r a m ， 软 件 会 直 接 从 本 地 读 取 数 据 库 。 而 对 于 W h a t s A p p ， 除 了 记 录 消 息 记 录 和 通 话 记 录 ， P e g a s u s 还 会 加 载 一 个 库 ( l i b w a c a l l s ) 这 个 库 能 够 h o o k 关 键 的 W h a t s A p p 函 数 ， 然 后 拦 截 各 种 类 型 的 通 信 。 s t a r t   ( u s a g e :   % s       [ a r g s . . . ] )
当 有 通 话 开 始 、 中 断 、 结 束 ， 或 者 有 另 一 通 电 话 时 ， 这 个 库 就 会 发 布 全 系 统 的 通 知 。 只 要 知 道 通 知 的 I D 任 何 程 序 都 能 够 接 收 到 事 件 。 通 知 的 I D 是 唯 一 的 ， 长 达 5 6 个 字 符 ， 似 乎 是 s h a 2 2 4 哈 希 函 数 的 输 出 值 。 P e g a s u s 还 有 一 个 录 音 模 块 会 专 门 监 听 这 些 I D 。 l i b w a c a l l s 发 送 这 些 通 知 ， 然 后 l i b a u d i o . d y l i b 就 会 进 行 处 理 ， P e g a s u s 从 而 就 能 对 用 户 的 W h a t s A p p 通 话 进 行 录 音 。
L i b a u d i o 会 把 通 话 录 音 保 存 在 如 下 目 录 ： •   m i c F i l e N a m e   –   / p r i v a t e / v a r / t m p / c r / x . < c a l l _ i d > . c a f •   s p k F i l e N a m e   –   / p r i v a t e / v a r / t m p / c r / t . < c a l l _ i d > . c a f •   s e n t r y F i l e N a m e   –   / p r i v a t e / v a r / t m p / c r / z . < c a l l _ i d > . c a f 总 结 总 结 手 机 在 我 们 的 日 常 生 活 中 无 处 不 在 ， 因 此 对 于 攻 击 者 来 说 也 是 非 常 重 要 的 目 标 。 据 报 道 N S O 小 组 有 几 百 名 员 工 ， 年 收 入 高 达 几 百 万 美 金 ， 就 是 网 络 世 界 中 的 军 火 商 。 N S O 也 不 是 唯 一 一 家 出 售 这 类 间 谍 软 件 的 公 司 ， 我 们 曾 经 见 过 的 就 有 H a c k i n g   T e a m 、 F i n f i s h e r 等 。 因 此 ， 我 们 还 是 建 议 广 大 i O S 用 户 ， 尽 快 升 级 到 最 新 系 统 。 *   参 考 来 源 ： L o o k o u t ， v u l t u r e 编 译 ， 文 章 有 修 改 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理