⁣🕵️‍♂️ Scoperta un'operazione di spionaggio informatico che prende di mira dispositivi iOS con exploit zero-click

Ricercatori di sicurezza dell'azienda Kaspersky hanno rivelato l'esistenza di un gruppo di minaccia avanzata (APT) precedentemente sconosciuto coinvolto in una campagna di spionaggio informatico mirata a dispositivi iOS. L'operazione, denominata "Operazione Triangolazione", ha inizio nel 2019 e continua tuttora.

Secondo gli esperti di Kaspersky, la catena degli attacchi inizia con l'invio di un messaggio tramite il servizio iMessage su un dispositivo iOS. Il messaggio contiene un allegato che sfrutta una vulnerabilità zero-click, consentendo l'esecuzione remota di codice senza alcuna interazione da parte dell'utente. Una volta attivato, l'allegato infetta il dispositivo.

Poco dopo la scoperta di Kaspersky, l'intelligence russa (FSB) ha accusato i servizi di intelligence statunitensi per gli attacchi contro gli iPhone. L'FSB afferma che migliaia di dispositivi iOS, appartenenti a abbonati nazionali, missioni diplomatiche e ambasciate, sono stati presi di mira nell'ambito dell'Operazione Triangolazione.

Secondo l'FSB, l'operazione aveva l'obiettivo di raccogliere informazioni dai diplomatici dei paesi della NATO, Israele, Cina e Siria. Inoltre, l'FSB ritiene che Apple abbia fornito supporto all'intelligence statunitense in questa campagna, sollevando preoccupazioni sulla privacy dei dati personali degli utenti dei dispositivi Apple.

L'exploit utilizzato nell'attacco scarica ulteriori fasi dal server C2, inclusi exploit per l'escalation dei privilegi. Il payload finale, descritto come una piattaforma APT completa, viene scaricato dallo stesso server C2. I ricercatori di Kaspersky hanno notato che il set di strumenti dannosi non supporta la persistenza, il che potrebbe consentire la reinfezione dei dispositivi dopo il riavvio.

L'attacco è stato mirato con successo verso iOS 15.7, ma l'analisi del payload finale è ancora in corso. Il codice dannoso viene eseguito con privilegi di root, permettendo il controllo remoto del dispositivo e l'esecuzione di codice arbitrario.