“三角定位”行动：未知iPhone特性被用于植入间谍软件

一项针对iPhone的间谍软件活动，始于2019年，近日被发现利用了一项此前未知的由苹果公司设计的芯片特性，以绕过基于硬件的安全防护。

这一行动被称为“三角定位”，由卡巴斯基实验室的研究人员在第37届混沌通讯大会上详细介绍。攻击从苹果的iMessage零点点击攻击开始，利用iOS版本至16.2的四个漏洞。零点点击攻击，顾名思义，是指无需用户点击任何内容即可感染目标设备的攻击。

攻击过程包括发送恶意iMessage附件，该附件在不向用户显示任何迹象的情况下被应用程序处理。攻击首先利用了一个远程代码执行漏洞，编号为CVE-2023-41990，这是一个之前未有文档记录的苹果独有的ADJUST TrueType字体指令。研究人员指出，该指令自1990年代初就已存在，但直到近期的一个补丁中才被移除。

攻击者获取访问权限后，可以利用iOS中的各种漏洞，包括JavaScriptCore库环境中的漏洞，执行JavaScript中的权限提升漏洞。该漏洞被混淆以使其不可读，然后利用调试功能获得操纵JavaScriptCore内存和执行应用程序接口函数的能力。

攻击中利用的其他漏洞包括整数溢出漏洞CVE-2023-32434，页面保护层绕过漏洞CVE-2023-38606，以及Safari漏洞CVE-2023-32435。最终，该漏洞获得了根权限，并执行了包括加载间谍软件在内的其他阶段。

攻击链可能很技术性，但有趣的步骤是CVE-2023-38606页面保护层绕过的利用方式。卡巴斯基研究人员表示，关键在于攻击者“能够在绕过基于硬件的内存保护的情况下，将数据写入特定物理地址，通过向未知的硬件寄存器写入数据、目的地址和数据哈希来实现，这些寄存器未被固件使用”。

但这种未知的硬件特性是什么？即使是研究人员也不确定。

研究人员解释说：“我们猜测，这种未知的硬件特性很可能是为苹果工程师或工厂的调试或测试目的而设计的，或者是意外包含的。因为这个特性没有被固件使用，我们不知道攻击者如何知道如何使用它。”

研究人员已经发布了关于该漏洞的技术细节，至少是他们所收集的信息，以便其他iOS研究人员可以确认这些发现，并为攻击者如何了解一个未知硬件特性提出可能的解释。