هجوم NoReboot يزيف إغلاق هاتف iOS للتجسس عليك

يمكن استخدام البرامج الضارة PoC لاختطاف وظائف الميكروفون والكاميرا.

نشر باحثون تقنية جديدة تزييف عمليات إغلاق iPhone لإجراء المراقبة.

يُطلق على هجوم ZecOps لإثبات المفهوم (PoC) ، الذي يطلق عليه اسم "NoReboot" ، وصفًا بأنه طريقة مستمرة يمكنها التحايل على الممارسة العادية لإعادة تشغيل الجهاز لمسح النشاط الضار من الذاكرة.

جعل ظهوره مع تحليل والجمهور جيثب مستودع هذا الأسبوع، وقال ZecOps أن NoReboot طروادة يحاكي اغلاق صحيح مع توفير غطاء لنقل البرمجيات الخبيثة إلى العمل - التي يمكن أن تشمل عملية الخطف السري للميكروفون وكاميرا قدرات للتجسس على مالك الهاتف.

يقول الباحثون: "لا يمكن للمستخدم أن يشعر بالفرق بين الإغلاق الحقيقي و" الإغلاق الوهمي "، مضيفًا:" لا توجد واجهة مستخدم أو أي تعليقات على الأزرار حتى يقوم المستخدم بإعادة تشغيل الهاتف ".

تستحوذ التقنية على حدث الإغلاق المتوقع عن طريق حقن التعليمات البرمجية في ثلاث شياطين: InCallService و SpringBoard و backboardd.

عند إيقاف تشغيل جهاز iPhone ، توجد مؤشرات مادية تشير إلى اكتمال ذلك بنجاح ، مثل رنين أو صوت ، واهتزاز ، وظهور شعار Apple على الشاشة - ولكن من خلال تعطيل "الملاحظات المادية" ، يمكن للبرامج الضارة إنشاء مظهر إيقاف التشغيل أثناء الحفاظ على اتصال مباشر بالمشغل.

أوضح الباحثون: "عند الانزلاق إلى إيقاف التشغيل ، فإنه في الواقع تطبيق نظام /Applications/InCallService.app يرسل إشارة إيقاف التشغيل إلى SpringBoard ، وهي خدمة مسئولة عن غالبية تفاعلات واجهة المستخدم". "لقد تمكنا من اختطاف الإشارة عن طريق ربط طريقة Objective-C - [FBSSystemService shutdownWithOptions:]. الآن بدلاً من إرسال إشارة إيقاف التشغيل إلى SpringBoard ، سيتم إخطار SpringBoard و backboardd لتشغيل الشفرة التي أدخلناها فيها."

يمكن بعد ذلك اختطاف عجلة الدوران التي تشير إلى عملية إيقاف التشغيل عبر backboardd ويمكن إجبار وظيفة SpringBoard على الخروج ومنع إعادة التشغيل مرة أخرى. صرحت شركة ZecOps أنه من خلال الاستحواذ على SpringBoard ، يمكن لجهاز iPhone المستهدف "المظهر والإحساس" كما لو لم يتم تشغيله ، وهو "التنكر المثالي لغرض محاكاة إيقاف تشغيل مزيف للطاقة".

ومع ذلك ، لا يزال لدى المستخدمين خيار إعادة التشغيل القسري. هذا هو المكان الذي يأتي فيه العبث باللوحة الخلفية d - من خلال مراقبة مدخلات المستخدم ، بما في ذلك طول الأزرار ، يمكن محاكاة إعادة التشغيل قبل حدوث إعادة التشغيل الحقيقية ، مثل عرض شعار Apple مبكرًا.

وعلق Malwarebytes على ذلك بقوله: "إن منع المستخدمين من إعادة تشغيل جهاز مصاب يدويًا بجعلهم يعتقدون أنهم نجحوا في القيام بذلك يعد أسلوبًا بارزًا لاستمرار البرامج الضارة" . علاوة على ذلك ، فإن الخداع البشري متضمن: فقط عندما تعتقد أنه ذهب ، فإنه لا يزال هناك إلى حد كبير.

نظرًا لأن التقنية تركز على خداع المستخدمين بدلاً من الثغرات الأمنية أو الأخطاء في نظام iOS الأساسي ، فإن هذا ليس شيئًا يمكن إصلاحه باستخدام تصحيح. تقول ZecOps إن طريقة NoReboot تؤثر على جميع إصدارات iOS وأن مؤشرات الأجهزة فقط يمكن أن تساعد في اكتشاف هذا النوع من تقنيات الهجوم.

يمكن العثور على عرض فيديو أدناه.

Fake shutdown simulation using NoReboot persistence technique