搜索

[10448] 2016-08-30_Pegasus间谍套件内部原理及流程剖析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-08-30_Pegasus间谍套件内部原理及流程剖析 P e g a s u s 间 谍 套 件 内 部 原 理 及 流 程 剖 析 R o y _ C h e n   F r e e B u f   2 0 1 6 - 0 8 - 3 0 事 件 介 绍 事 件 介 绍 这 篇 报 道 是 关 于 最 近 发 生 的 在 全 球 范 围 内 活 跃 的 A P T 间 谍 软 件 的 深 度 研 究 ， L o o k u p 团 队 已 经 捕 获 了 样 本 ， 并 且 在 一 台 全 新 的 i O S 设 备 上 进 行 了 深 度 研 究 。 N S O 集 团 提 供 的 间 谍 软 件 套 装 名 为 P e g a s u s （ 可 戏 称 为 天 马 流 星 拳 ） ， P e g a s u s 是 一 套 高 度 定 制 化 和 自 动 化 的 间 谍 软 件 ， 其 内 置 三 叉 戟 （ 3 个 i O S 的 0 d a y 漏 洞 组 合 ） ， 可 以 有 效 刺 破 i O S 的 安 全 机 制 ， 抵 达 内 核 ， 完 全 控 制 手 机 ， 然 后 窃 取 其 中 数 据 。 运 用 动 态 库 h o o k i n g 的 方 式 来 破 坏 内 核 层 与 应 用 层 的 安 全 机 制 ， 包 括 且 不 限 于 语 音 、 电 话 、 G M A I L 、 F A C E B O O K 、 W H A T S A P P 、 F A C E T I M E 、 V I B E R 、 W E C H A T 、 T E L E G R A M 等 等 ， 不 管 是 苹 果 的 内 置 应 用 还 是 第 三 方 应 用 ， 完 全 不 能 幸 免 （ 因 为 拿 到 了 r o o t 权 限 ， 监 控 软 件 的 进 程 已 经 是 上 帝 模 式 ） 。 P e g a s u s 所 使 用 的 三 叉 戟 漏 洞 ， 已 经 被 苹 果 在 最 新 的 i O S   9 . 3 . 5 中 修 补 完 成 ， 下 文 中 将 对 其 进 行 详 细 的 介 绍 。 根 据 最 新 的 报 道 ， 根 据 最 新 的 报 道 ， N S O 集 团 从 集 团 从 2 0 1 0 年 开 始 就 已 经 出 售 武 器 化 的 监 控 软 件 套 装 给 企 业 和 组 织 ， 到 眼 前 被 发 现 为 止 已 经 存 在 了 年 开 始 就 已 经 出 售 武 器 化 的 监 控 软 件 套 装 给 企 业 和 组 织 ， 到 眼 前 被 发 现 为 止 已 经 存 在 了 很 长 一 段 时 间 来 了 ， 其 宣 称 组 合 使 用 了 高 维 度 的 系 统 组 合 漏 洞 来 完 成 渗 透 和 攻 击 ， 可 以 轻 易 地 进 入 很 长 一 段 时 间 来 了 ， 其 宣 称 组 合 使 用 了 高 维 度 的 系 统 组 合 漏 洞 来 完 成 渗 透 和 攻 击 ， 可 以 轻 易 地 进 入 i O S 、 安 卓 和 黑 莓 系 统 ， 、 安 卓 和 黑 莓 系 统 ， 窃 取 其 内 部 信 息 。 窃 取 其 内 部 信 息 。 这 款 间 谍 软 件 高 度 隐 蔽 并 且 模 块 化 ， 易 于 定 制 。 它 使 用 了 高 强 度 的 加 密 来 保 护 自 身 不 被 传 统 杀 毒 软 件 发 现 ， 并 且 保 证 被 发 这 款 间 谍 软 件 高 度 隐 蔽 并 且 模 块 化 ， 易 于 定 制 。 它 使 用 了 高 强 度 的 加 密 来 保 护 自 身 不 被 传 统 杀 毒 软 件 发 现 ， 并 且 保 证 被 发 现 之 后 进 行 现 之 后 进 行 “ 自 爆 自 爆 ” ， 提 高 取 证 难 度 。 我 们 的 报 告 指 出 三 叉 戟 漏 洞 包 含 以 下 三 种 漏 洞 的 组 合 ： ， 提 高 取 证 难 度 。 我 们 的 报 告 指 出 三 叉 戟 漏 洞 包 含 以 下 三 种 漏 洞 的 组 合 ： C V E - 2 0 1 6 - 4 6 5 7 ： S a f a r i 的 W e b k i t 内 核 上 的 内 存 泄 露 漏 洞 ， 用 户 点 击 之 后 攻 击 者 可 以 占 领 这 台 机 器 。 C V E - 2 0 1 6 - 4 6 5 5 ： 内 核 信 息 泄 露 漏 洞 绕 过 K A S L R ， 攻 击 者 可 以 计 算 出 内 核 的 基 质 ， 锁 定 内 核 的 位 置 。 C V E - 2 0 1 6 - 4 6 5 6 ： i O S 内 核 内 存 漏 洞 导 致 越 狱 ， 不 管 是 3 2 位 还 是 6 4 位 均 可 以 越 狱 其 内 核 ， 并 安 装 监 控 软 件 。 根 据 代 码 显 示 ， 这 款 间 谍 软 件 套 装 至 少 存 在 了 超 过 两 年 的 时 间 ， 代 码 里 显 示 部 分 配 置 适 配 于 i O S   7 ， 这 个 版 本 苹 果 在 2 0 1 3 年 就 发 布 了 。 P e g a s u s 利 用 了 我 们 的 生 活 已 经 离 不 开 移 动 手 机 这 一 特 点 ， 手 机 是 一 款 一 直 联 网 的 终 极 信 息 管 理 终 端 。 手 机 用 户 觉 得 他 们 的 手 机 非 常 安 全 ， 毫 无 破 绽 ， 他 们 使 用 手 机 来 发 送 / 接 受 位 置 、 打 电 话 发 送 语 音 、 进 行 社 交 和 工 作 ， 但 是 他 们 不 知 道 其 实 手 机 已 经 被 P e g a s u s 完 全 监 控 了 ， 他 们 的 一 举 一 动 均 在 N S O 集 团 的 掌 握 之 中 。 P e g a s u s 的 一 份 授 权 卖 2 5 0 0 0 美 元 ， 他 们 卖 掉 了 3 0 0 份 授 权 ， 得 到 了 超 过 8 0 0 万 美 元 的 收 入 。
这 份 报 告 深 入 研 究 了 P e g a s u s 从 开 始 到 结 束 的 技 术 细 节 ， 包 括 三 叉 戟 漏 洞 的 利 用 细 节 ， 以 及 监 控 组 件 的 技 术 实 现 ， 让 大 家 看 一 看 一 款 监 控 软 件 究 竟 可 以 干 哪 些 事 情 ， 并 且 做 到 什 么 地 步 。 三 叉 戟 漏 洞 是 最 新 的 漏 洞 ， 一 直 到 i O S   9 . 3 . 4 版 本 依 然 有 效 ， 直 到 我 们 跟 苹 果 合 作 ， 推 出 了 9 . 3 . 5 之 后 ， 才 偃 旗 息 鼓 。 请 升 级 到 最 新 的 9 . 3 . 5 ， 以 确 保 自 己 的 手 机 安 全 。 0 × 0 1 . 背 景 背 景 随 着 移 动 设 备 进 一 步 的 渗 透 进 我 们 的 日 常 生 活 当 中 ， 恶 意 软 件 作 者 就 瞄 上 了 这 块 巨 大 的 市 场 ， 持 续 的 开 发 木 马 间 谍 软 件 运 行 于 受 害 者 的 设 备 上 ， 受 害 者 却 浑 然 不 知 。 这 些 暗 黑 的 项 目 中 ， 有 些 是 为 了 谋 财 ， 例 如 广 告 木 马 、 银 行 卡 木 马 、 或 者 短 信 欺 诈 ， 有 些 则 是 为 了 窃 取 组 织 或 者 个 人 情 报 ， 例 如 高 度 定 制 的 系 统 级 别 木 马 ， 在 受 害 者 毫 不 知 情 的 情 况 下 ， 偷 偷 把 信 息 传 回 控 制 服 务 器 。 间 谍 软 件 通 常 可 以 做 到 收 集 受 害 者 的 短 信 、 联 系 人 、 通 话 记 录 、 通 话 录 音 ， 或 者 远 程 开 启 摄 像 头 和 麦 克 风 ， 对 目 标 进 行 监 听 和 监 视 。 包 括 录 下 声 音 和 视 频 ， 传 回 控 制 服 务 器 。 有 些 间 谍 软 件 甚 至 可 以 做 到 传 播 病 毒 和 木 马 ， 以 受 害 人 手 机 为 基 础 和 跳 板 ， 进 一 步 攻 击 最 终 目 标 。 这 项 技 术 非 常 复 杂 和 冒 险 ， 攻 击 者 往 往 得 掌 握 着 目 标 系 统 的 0 d a y 漏 洞 才 能 成 功 。 所 以 不 管 是 私 人 安 全 公 司 还 是 企 业 系 统 均 推 出 漏 洞 回 馈 计 划 ， 有 偿 征 集 系 统 漏 洞 。 两 家 私 人 安 全 公 司 G a m m a 集 团 和 H a c k i n g   T e a m 公 司 ， 自 从 被 爆 出 开 发 了 移 动 平 台 监 控 软 件 并 出 售 给 政 府 机 构 之 后 ， 都 上 了 各 大 媒 体 头 条 。 这 些 监 控 软 件 造 价 不 菲 ， 功 能 丰 富 ， 往 往 只 有 大 金 主 才 能 使 用 ， 里 面 内 置 的 0 d a y 漏 洞 更 是 确 保 其 行 动 万 无 一 失 。 以 色 列 N S O 集 团 平 时 行 事 低 调 ， 不 显 山 不 露 水 ， 这 次 行 动 已 经 进 行 了 五 年 之 久 ， 也 没 人 发 现 。 这 家 由 N i v   C a r m i ， S h a l e v   H u l i o ， 和 O m r i   L a v i e 在 2 0 1 0 年 建 立 的 N S O 集 团 宣 称 ， 已 经 把 自 己 开 发 的 监 控 软 件 卖 给 了 各 国 的 政 府 集 团 。 他 们 宣 传 自 己 的 监 控 软 件 是 无 法 被 检 测 的 ， 其 中 以 为 创 始 人 还 说 ： “ 我 们 是 名 副 其 实 的 魅 影 ” 。 私 人 公 司 费 城 兄 弟 在 2 0 1 4 年 以 1 . 1 亿 美 元 收 购 了 N S O 集 团 。 在 此 之 外 ， N S O 集 团 还 组 建 了 移 动 软 件 安 全 公 司 K a y m e r a ， 既 射 门 ， 又 守 门 ， 风 光 无 限 ， 一 时 无 两 。 　 0 × 0 2 . 时 间 线 时 间 线 2 0 1 6 . 0 8 . 1 2   C i t i z e n   L a b 报 告 监 控 软 件 给 L o o k o u t 团 队 2 0 1 6 . 0 8 . 1 5   两 家 团 队 合 作 分 析 这 款 间 谍 软 件 所 使 用 的 技 术 之 后 ， 提 交 给 了 苹 果 2 0 1 6 . 0 8 . 2 5   苹 果 释 放 9 . 3 . 5 更 新 ， 封 堵 漏 洞 P e g a s u s 间 谍 套 装 间 谍 套 装 攻 击 的 方 式 很 简 单 ， 有 效 载 荷 的 传 播 也 是 静 默 方 式 。 攻 击 者 给 受 害 者 发 送 一 个 U R L ， 可 以 是 短 信 、 邮 箱 、 社 交 软 件 或 者 任 何 其 他 方 式 ， 受 害 者 仅 需 点 击 一 下 链 接 ， 服 务 器 就 开 始 向 受 害 者 的 手 机 传 输 攻 击 载 荷 ， 远 程 越 狱 受 害 者 的 手 机 ， 然 后 安 装 监 控 软 件 。 一 切 都 是 在 受 害 者 不 知 情 的 状 况 下 发 生 的 ， 受 害 者 唯 一 可 以 察 觉 的 就 是 按 下 这 个 链 接 之 后 ， 浏 览 器 自 动 退 出 了 。 监 控 软 件 包 含 木 马 代 码 和 程 序 ， 用 来 监 控 、 收 集 数 据 并 且 上 传 到 服 务 器 ， 受 害 者 的 一 举 一 动 尽 在 攻 击 者 的 掌 握 之 中 。 监 控 软 件 可 以 完 全 控 制 以 下 软 件 ： G M A I L ， F A C E T I M E ， F A C E B O O K ， L I N E ， M A I L . R U ， C A L E N D A R ， W E C H A T ， S U R E S P O T ， T A N G O ， V I B E R ， S K Y P E ， T E L E G R A M ， K A K A O T A L K 。 　
为 了 达 到 完 全 静 默 监 控 ， 监 控 软 件 不 会 下 载 这 些 软 件 的 木 马 版 本 ， 重 新 安 装 到 受 害 者 手 机 上 。 而 是 采 用 预 装 的 版 本 ， 包 括 系 统 软 件 和 用 户 安 装 的 软 件 。 一 般 情 况 下 ， i O S 的 系 统 是 为 软 件 做 好 分 离 设 计 的 ， 软 件 之 间 是 无 法 通 信 甚 至 无 法 知 道 对 方 存 在 的 。 但 是 越 狱 后 的 系 统 确 是 可 以 通 过 h o o k i n g 的 方 式 来 监 控 其 他 软 件 的 。 三 叉 戟 软 件 套 装 通 过 加 载 其 动 态 链 接 库 到 目 标 进 程 的 方 式 ， 可 以 应 用 于 h o o k 那 些 安 装 有 C y d i a   M o b i l e   S u b s t r a t e 框 架 的 软 件 。 这 个 框 架 在 越 狱 社 区 非 常 有 名 ， 三 叉 戟 套 装 也 使 用 了 这 个 框 架 。 用 户 感 染 了 P e g a s u s 之 后 ， 手 机 处 于 完 全 的 监 控 状 态 之 中 ， 包 括 电 话 录 音 ， 通 话 记 录 ， 短 信 ， 麦 克 风 / 摄 像 头 实 时 通 信 （ 几 乎 变 成 对 讲 机 ） 。 在 这 个 阶 段 获 取 到 信 息 之 后 ， 监 控 者 可 以 将 这 些 信 息 用 于 下 个 阶 段 的 入 侵 ， 例 如 拿 到 你 的 银 行 卡 账 户 和 密 码 ， 拿 到 邮 箱 账 户 密 码 ， 以 及 社 保 等 等 。 受 害 者 点 击 链 接 之 后 ， 攻 击 者 展 开 攻 击 。 攻 击 分 为 三 个 阶 段 ， 每 个 阶 段 都 包 含 了 攻 击 模 块 代 码 和 隐 蔽 软 件 。 攻 击 是 线 性 的 ， 每 个 阶 段 都 依 赖 于 上 个 阶 段 的 代 码 、 隐 蔽 软 件 的 成 功 ， 每 个 阶 段 都 使 用 了 关 键 的 三 叉 戟 漏 洞 ， 以 确 保 进 攻 成 功 进 行 。 阶 段 一 ： 阶 段 一 ： 传 递 S a f a r i 内 核 的 W e b k i t 漏 洞 ， 这 个 阶 段 是 诱 使 受 害 者 点 击 一 个 网 站 地 址 ， 诱 发 漏 洞 ， 执 行 代 码 ， 位 3 2 位 机 器 和 6 4 位 机 器 分 别 下 载 用 于 下 个 阶 段 的 代 码 ； 阶 段 二 ： 阶 段 二 ： 这 个 阶 段 是 执 行 上 个 阶 段 下 载 来 的 代 码 ， 代 码 是 一 段 加 密 后 的 乱 码 。 每 个 下 载 都 是 用 单 独 的 密 码 单 独 加 密 的 ， 传 统 的 云 端 特 征 码 检 测 技 术 在 此 失 效 （ 大 多 数 杀 软 均 采 用 特 征 码 技 术 ） ， 这 些 代 码 中 含 有 内 核 基 质 定 位 代 码 和 U A F 漏 洞 利 用 代 码 ， 并 且 包 含 了 代 码 解 密 程 序 。 在 此 阶 段 内 核 基 质 被 定 位 并 被 越 狱 。 阶 段 三 ： 阶 段 三 ： 这 个 阶 段 设 备 开 始 安 装 上 个 阶 段 下 载 解 密 好 的 监 控 程 序 P e g a s u s ， 并 且 动 态 库 h o o k i n g 到 想 要 监 控 的 程 序 ， 程 序 也 会 检 测 设 备 是 不 是 已 经 通 过 其 他 方 法 越 狱 过 ， 如 果 是 ， 则 移 除 任 何 第 三 方 控 制 方 式 （ 例 如 S S H ） ， 使 其 成 为 P e g a s u s 专 属 监 控 设 备 。 程 序 也 会 监 控 三 个 阶 段 的 执 行 是 否 成 功 ， 如 果 失 败 （ 或 者 特 定 状 态 下 ） ， 则 清 除 自 身 不 留 痕 迹 ， 春 梦 了 无 痕 。 阶 段 三 使 用 的 程 序 部 署 在 一 个 t a r b a l l 里 面 （ t e s t 2 2 2 . t a r ） , 每 段 代 码 都 有 其 自 己 的 目 的 ， 稍 后 详 述 。
我 们 检 测 到 的 攻 击 最 高 可 以 用 于 i O S   9 . 3 . 4 版 本 ， 攻 击 者 维 护 着 一 份 庞 大 的 代 码 库 用 于 攻 击 i O S 从 7 到 9 . 3 . 3 ， 我 们 检 测 的 代 码 中 没 有 9 . 3 . 4 的 配 置 信 息 ， 但 是 对 于 9 . 3 . 4 版 本 依 然 有 效 （ 我 们 知 道 9 . 3 . 4 的 发 布 ， 仅 仅 是 为 了 封 堵 盘 古 团 队 手 上 的 漏 洞 ， 盘 古 团 队 手 上 的 漏 洞 可 以 越 狱 到 9 . 3 . 3 ） 。 所 以 我 们 推 荐 大 家 升 级 到 9 . 3 . 5 。 另 外 一 个 特 性 就 是 ， 标 准 的 越 狱 检 测 程 序 无 法 检 测 到 设 备 已 经 越 狱 ， 因 为 攻 击 者 的 目 标 是 尽 可 能 的 隐 蔽 。 所 以 受 害 者 的 设 备 哪 怕 在 专 业 程 序 的 检 测 下 ， 依 然 是 “ 未 越 狱 ” 的 状 态 。 0 × 0 3 . 专 业 开 发 团 队 专 业 开 发 团 队 P e g a s u s 有 着 模 块 化 的 设 计 ， 简 单 高 效 。 比 如 它 维 护 者 一 份 m a g i c   t a b l e ， 用 来 分 辨 不 同 设 备 ， 不 同 i O S 版 本 号 下 的 内 核 内 存 基 址 ， i O S   9 . 2 . 1 在 i P h o n e   6 上 的 内 核 内 存 基 址 如 下 图 所 示 ： 　 　 #   c a . c r t   -   r o o t   k e y s t o r e 中 的 T L S   c e r t i f i c a t e   　 　 #   c c o m . a p p l e . i t u n e s s o t r e d . 2 . c s s t o r e   -   s t a n d a l o n e 模 式 的 J a v a S c r i p t 代 码 ， 会 在 重 启 时 执 行 。 用 于 在 重 启 时 执 行 未 签 名 的 代 码 以 及 静 默 维 持 j a i l b r e a k 。 　 　 #   c o n v e r t e r   -   根 据 p i d 来 入 侵 d y l i b 。 这 只 不 过 是 把 C y d i a 开 源 软 件 库 中 的 c y n j e c t 程 序 重 命 名 而 已 。 　 　 #   l i b a u d i o . d y l i b   -   通 话 录 音 的 基 础 库 　 　 #   l i b i m o . d y l i b   -   i m o . i m 的 嗅 探 库 　 　 #   l i b v b c a l l s . d y l i b   -   V i b e r 的 嗅 探 库 　 　 #   l i b w a c a l l s . d y l i b   -   W h a t s a p p 的 嗅 探 库 　 　 #   l w - i n s t a l l   -   安 装 换 新 所 有 嗅 探 库 　 　 #   s y s t e m d   -   发 送 报 告 及 文 件 到 服 务 器 　 　 #   w a t c h d o g 　 　 #   w o r k e d   -   S I P 模 块
这 样 就 算 出 了 每 个 程 序 在 内 存 中 的 地 址 （ 基 于 内 核 地 址 的 偏 移 量 ） ， 这 个 信 息 在 破 解 时 帮 了 大 忙 。 另 外 ， 模 块 化 的 代 码 命 名 方 式 对 于 我 们 的 剖 析 内 部 构 造 也 是 非 常 有 力 ， 例 如 l i b w a c a l l s 就 是 W h a t s a p p 的 嗅 探 库 ， l i b v b c a l l s 就 是 V i b e r 的 嗅 探 库 ， 代 码 及 其 高 效 简 洁 ， 这 跟 其 他 木 马 作 者 不 同 ， 其 他 作 者 总 是 尽 全 力 隐 藏 其 目 的 ， 而 P e g a s u s 是 木 马 界 的 一 股 清 流 。 还 有 ， 程 序 健 壮 ， 高 可 用 也 是 充 分 保 证 的 ， 哪 怕 在 最 初 阶 段 我 们 也 发 现 了 他 们 的 d e b u g g i n g 代 码 和 Q A 标 准 ， 这 些 都 是 企 业 级 别 测 试 组 织 流 程 。 0 × 0 4 . 革 命 性 的 软 件 革 命 性 的 软 件 这 款 木 马 已 经 运 作 了 数 年 ， 这 足 以 让 我 们 产 生 给 它 颁 发 一 座 软 件 健 壮 大 奖 的 冲 动 ， 并 且 它 还 支 持 所 有 i h o n e 型 号 上 运 行 的 所 有 i O S 版 本 ， 从 i P h o n e   4 s 到 i P h o n e   6 s   P l u s 。 这 是 一 段 证 明 其 适 用 于 i O S 7   （ 发 布 于 2 0 1 3 年 ） 的 代 码 片 断 。
剖 析 “ 三 叉 戟 ” 漏 洞 这 套 间 谍 软 件 内 置 了 三 个 i O S 系 统 内 核 漏 洞 ， 这 里 称 之 为 “ 三 叉 戟 ” 漏 洞 。 这 套 漏 洞 组 合 在 i O S   9 . 3 . 3 上 被 发 现 ， 在 9 . 3 . 4 版 本 上 也 运 行 良 好 ， 于 9 . 3 . 5 版 本 被 苹 果 封 堵 。 0 × 0 5 . C V E - 2 0 1 6 - 4 6 5 7 ： ： S a f a r i 的 的 W e b k i t 内 核 上 的 内 存 泄 露 内 核 上 的 内 存 泄 露 在 S a f a r i 的 W e b k i t 内 核 上 存 在 的 内 存 崩 溃 漏 洞 ， 使 攻 击 者 可 以 执 行 任 意 代 码 。 P e g a s u s 利 用 这 个 漏 洞 在 S a f a r i 的 进 程 中 获 取 初 始 化 代 码 执 行 权 限 。 这 个 漏 洞 比 较 复 杂 ， 我 们 将 继 续 分 析 ， 持 续 报 道 。 　 0 × 0 6 . C V E - 2 0 1 6 - 4 6 5 5 ： 内 核 信 息 泄 露 漏 洞 绕 过 ： 内 核 信 息 泄 露 漏 洞 绕 过 K A S L R 在 P e g a s u s 可 以 执 行 j a i l b r e a k 之 前 ， 它 必 须 先 知 道 内 核 位 于 内 存 的 哪 里 。 苹 果 的 内 核 基 址 随 机 化 技 术 使 得 内 核 在 内 存 中 出 现 的 方 式 完 全 随 机 ， 找 不 到 内 核 在 哪 里 ， 攻 破 内 核 更 是 无 从 谈 起 了 。 P e g a s u s 利 用 了 i O S 内 核 读 取 栈 数 据 时 缺 乏 边 界 检 查 ， 导 致 P e g a s u s 能 够 获 取 栈 上 额 外 的 数 据 ， 而 函 数 的 返 回 地 址 一 般 会 被 保 存 在 栈 上 ， 刺 探 到 了 内 核 的 基 址 。 0 × 0 7 . C V E - 2 0 1 6 - 4 6 5 6 ： ： i O S 内 核 内 存 漏 洞 导 致 越 狱 内 核 内 存 漏 洞 导 致 越 狱 　 　 这 个 漏 洞 则 是 一 个 典 型 的 U A F 漏 洞 ， 通 过 精 心 构 造 数 据 可 以 在 F r e e 之 后 先 分 配 对 象 来 重 新 占 用 之 后 再 触 发 U s e ， 也 可 以 进 一 步 转 换 成 d o u b l e   f r e e ， 获 取 内 核 态 的 执 行 权 限 从 而 执 行 越 狱 代 码 。 　 0 × 0 8 . 越 狱 维 持 技 术 越 狱 维 持 技 术 一 旦 内 核 被 攻 破 了 ， P e g a s u s 开 始 准 备 安 装 越 狱 环 境 。 　 　 #   关 闭 内 核 保 护 措 施 ， 例 如 代 码 签 名 　 　 #   重 新 挂 载 系 统 分 区
　 　 #   清 除 S a f a r i 的 缓 冲 区 （ 清 除 攻 击 痕 迹 ） 　 　 #   写 入 越 狱 文 件 （ 包 含 主 要 加 载 器   / s b i n / m o u n t _ n f s ） 在 上 一 节 的 阶 段 二 中 ， P e g a s u s 会 移 除 / e t c / n f s . c o n f 导 致 文 件 系 统 加 载 / s b i n / m o u n t _ n f s （ 这 就 是 阶 段 三 的 越 狱 加 载 器 ） ， / s b i n / m o u n t _ n f s 是 以 r o o t 的 权 限 运 行 的 ， 所 以 越 狱 软 件 接 管 了 系 统 的 完 整 权 限 。 阶 段 三 结 束 后 ， P e g a s u s 需 要 在 重 启 后 也 继 续 维 持 越 狱 状 态 ， 所 以 使 用 一 段 j s c 二 进 制 代 码 替 换 了 系 统 中 的 r t b u d d y d ， 并 且 链 接 到 C V E - 2 0 1 6 - 4 6 5 7 ， 达 到 越 狱 持 久 化 。 木 马 分 析 木 马 分 析 P e g a s u s 是 我 们 检 测 过 的 最 隐 蔽 和 最 高 效 的 间 谍 软 件 套 件 。 它 使 用 神 话 般 的 方 式 来 安 装 和 隐 藏 自 己 ， 一 旦 它 跻 身 系 统 之 中 ， 它 有 一 连 串 方 式 来 隐 藏 通 讯 和 达 到 反 查 杀 的 功 能 ， 并 且 h o o k 到 r o o t 和 m o b i l e 进 程 中 来 收 集 系 统 和 用 户 信 息 。 0 × 0 9 . 安 装 和 持 久 化 安 装 和 持 久 化 软 件 在 阶 段 三 运 行 l w - i n s t a l l 时 安 装 到 受 害 者 手 机 上 。 L w - i n s t a l l l 负 责 了 持 久 化 的 的 大 部 分 设 计 功 能 ， 包 括 重 启 后 持 续 接 管 ， 以 及 另 外 一 些 小 手 段 防 止 手 机 变 砖 。 L w - i n s t a l l 做 的 第 一 件 事 情 ， 就 是 检 查 i O S 的 版 本 号 ， 根 据 手 机 运 行 的 是 i O S   9 还 是 之 前 的 版 本 执 行 不 同 的 代 码 。 如 果 用 户 手 机 安 装 的 是 i O S   9 ， l w - i n s t a l l 会 运 行 . p l i s t 上 的 / s b i n / l a u n c h c t l   l o a d   拖 到 / L i b r a r y / L a u n c h D e a m o n s （ 这 个 目 录 通 常 是 空 的 ， 或 者 用 于 存 放 越 狱 后 开 机 启 动 p l i s t 服 务 列 表 ， 例 如 S S H D ） ， 这 样 可 以 保 证 重 启 后 立 即 运 行 。 　
如 果 运 行 的 不 是 i O S   9 ， l w - i n s t a l l 会 先 删 除 一 些 数 据 ， 然 后 运 行 代 码 ， l o g 文 件 在 这 里 / p r i v a t e / v a r / w i r e l e s s / L i b r a r y / c o m . a p p l e . w i f i d . r . l o g 。 0 × 0 9 0 1 . 持 久 化 技 术 ： 持 久 化 技 术 ： J S C 提 权 提 权 P e g a s u s 用 j s c 开 发 工 具 来 实 现 越 狱 持 久 化 ， 这 个 组 件 是 包 含 在 i O S 环 境 之 中 的 ， 其 功 能 是 使 用 户 可 以 在 W e b k i t 浏 览 器 之 外 运 行 J a v a S c r i p t 代 码 。 在 这 个 组 件 里 的 内 存 崩 溃 漏 洞 使 得 P e g a s u s 执 行 代 码 得 到 了 持 久 化 的 能 力 。 持 久 化 过 程 中 ， r t b u d d y d 这 个 守 护 进 程 被 一 段 签 名 过 并 有 着 运 行 权 限 的 j s c 代 码 替 换 。 系 统 重 启 时 ， 在 e a r l y - b o o t 阶 段 假 的 r t b u d d y d 会 运 行 ， 链 接 到 c o m . a p p l e . i t u n e s s t o r e d . 2 . c s t o r e 文 件 ， 这 个 文 件 的 结 构 与 C V E - 2 0 1 6 - 4 6 5 7 类 似 ， 再 次 载 入 攻 击 脚 本 攻 破 内 核 ， 进 行 越 狱 。 过 程 如 下 ： 　 　 #   运 行 j s c 代 码   – e a r l y   b o o t 　 　 #   运 行 攻 击 代 码 找 到 内 核 基 址 　 　 #   攻 击 内 核 越 狱 　 　 #   释 放 P e g a s u s 监 控 套 件 ， s y s t e m d 、 w a t c h d o g d 。 上 一 次 分 析 中 我 们 就 提 到 ， P e g a s u s 的 自 我 保 护 和 反 侦 察 功 能 是 优 先 于 监 控 功 能 的 。 也 就 是 说 ， 宁 可 不 再 监 控 ， 也 要 保 护 自 己 不 被 发 现 ， 因 为 一 旦 被 发 现 、 分 析 （ 这 就 是 我 们 现 在 在 做 的 事 情 ） ， 马 上 就 会 变 成 众 矢 之 的 ， 尸 骨 无 存 了 。 所 以 ， P e g a s u s 有 一 大 堆 功 能 来 保 持 其 隐 蔽 性 和 静 默 性 ， 它 持 续 地 监 控 手 机 状 态 并 且 阻 止 任 何 其 他 的 方 法 来 越 狱 / 连 接 手 机 ， 并 且 当 纸 包 不 住 火 时 ， 它 有 完 整 的 自 毁 功 能 ， 从 手 机 里 完 整 的 移 除 自 己 。
0 × 0 9 0 2 . 禁 用 更 新 禁 用 更 新 阶 段 三 禁 用 了 软 件 更 新 ， 使 手 机 无 法 收 到 任 何 软 件 更 新 提 示 信 息 。 0 × 0 9 0 3 . 检 测 越 狱 状 态 检 测 越 狱 状 态 阶 段 三 会 检 测 手 机 是 否 已 经 越 狱 ；
P e g a s u s 每 次 启 动 时 也 会 检 测 一 次 是 否 越 狱 。 0 × 0 9 0 4 . 监 控 设 备 监 控 设 备 为 了 可 以 持 续 监 测 和 通 讯 ， P e g a s u s 禁 用 了 系 统 的 “ 深 度 睡 眠 ” 功 能 。 （ s o 那 些 受 害 人 需 要 频 繁 充 电 ？ ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理