Cách hoạt động của hoạt động khai thác iPhone-Hacking của NSO Group

Trong nhiều năm, nhà cung cấp phần mềm gián điệp NSO Group của Israel đã gây ra nỗi sợ hãi và mê hoặc trong lòng cộng đồng quốc tế bằng các sản phẩm hack của mình — những sản phẩm tương tự đã được bán cho các chính phủ độc tài trên khắp thế giới và được sử dụng để chống lại các nhà báo, nhà hoạt động, chính trị gia và bất kỳ ai khác đủ không may để được nhắm mục tiêu. Công ty, thường bị dính vào bê bối, dường như thường hoạt động như thể bằng câu thần chú kỹ thuật số — với các cuộc tấn công khai thác thương mại không yêu cầu lừa đảo và phần mềm độc hại có thể nhìn thấy tất cả và có thể xâm nhập vào các không gian kỹ thuật số riêng tư nhất.

Nhưng một số bí mật đen tối của NSO đã được tiết lộ rất công khai vào tuần trước, khi các nhà nghiên cứu tìm cách giải mã về mặt kỹ thuật cách thức hoạt động của một trong những cuộc tấn công “zero-click” khét tiếng của công ty. Thật vậy, các nhà nghiên cứu với Project Zero của Google đã công bố một bảng phân tích chi tiết cho thấy cách khai thác của NSO, được gọi là “FORCEDENTRY”, có thể chiếm đoạt điện thoại một cách nhanh chóng và âm thầm.

Việc khai thác, được thiết kế để nhắm mục tiêu vào iPhone của Apple, được cho là đã dẫn đến việc hack thiết bị ở nhiều quốc gia - bao gồm cả của một số quan chức Bộ Ngoại giao Hoa Kỳ làm việc tại Uganda. Chi tiết ban đầu về nó đã được Citizen Lab , một đơn vị nghiên cứu tại Đại học Toronto, nơi thường xuyên công bố các nghiên cứu liên quan đến các hoạt động của NSO, nắm bắt được. Các nhà nghiên cứu của Citizen Lab đã quản lý để xác định được các điện thoại đã bị tấn công "không nhấp chuột" của công ty và vào tháng 9, đã công bố nghiên cứu ban đầu về cách chúng hoạt động. Cùng lúc đó , Apple tuyên bố sẽ kiện NSO và cũng xuất bản các bản cập nhật bảo mật để vá các vấn đề  liên kết với việc khai thác.

Citizen Lab cuối cùng đã chia sẻ những phát hiện của mình với các nhà nghiên cứu của Google, những người cuối cùng đã công bố phân tích của họ về các cuộc tấn công vào tuần trước. Như bạn có thể mong đợi, nó khá khó tin — và đáng sợ — những thứ.

“Dựa trên nghiên cứu và phát hiện của mình, chúng tôi đánh giá đây là một trong những khai thác kỹ thuật phức tạp nhất mà chúng tôi từng thấy, chứng minh thêm rằng các khả năng mà NSO cung cấp đối thủ với những khả năng mà trước đây chỉ một số quốc gia được cho là có thể tiếp cận được,” viết các nhà nghiên cứu Ian Beer và Samuel Groß.

Có lẽ điều đáng sợ nhất về FORCEDENTRY là, theo các nhà nghiên cứu của Google, thứ duy nhất cần thiết để hack một người là số điện thoại hoặc tên người dùng AppleID của họ.

Sử dụng một trong những số nhận dạng đó, kẻ khai thác NSO có thể dễ dàng xâm phạm bất kỳ thiết bị nào họ muốn. Quá trình tấn công rất đơn giản: Những gì có vẻ là GIF được nhắn tin đến điện thoại của nạn nhân qua iMessage. Tuy nhiên, hình ảnh được đề cập không thực sự là GIF; thay vào đó, nó là một tệp PDF độc hại được trang điểm bằng phần mở rộng .gif. Bên trong tệp là một khối lượng dữ liệu độc hại rất tinh vi có thể chiếm lấy một lỗ hổng trong phần mềm xử lý hình ảnh của Apple và sử dụng nó để nhanh chóng chiếm lấy các tài nguyên có giá trị trong thiết bị được nhắm mục tiêu. Người nhận thậm chí không cần nhấp vào hình ảnh để kích hoạt các chức năng độc hại của nó.

Về mặt kỹ thuật, những gì FORCEDENTRY đã làm là khai thác lỗ hổng zero-day trong thư viện kết xuất hình ảnh của Apple, CoreGraphics — phần mềm mà iOS sử dụng để xử lý hình ảnh và phương tiện trên thiết bị. Lỗ hổng đó, được chính thức theo dõi là CVE-2021-30860 , được liên kết với một đoạn mã nguồn mở miễn phí cũ mà iOS dường như đã tận dụng để mã hóa và giải mã các tệp PDF — việc triển khai Xpdf của JBIG2.

Tuy nhiên, đây là nơi mà cuộc tấn công trở nên thực sự rầm rộ. Bằng cách khai thác lỗ hổng xử lý hình ảnh, FORCEDENTRY đã có thể xâm nhập vào bên trong thiết bị được nhắm mục tiêu và sử dụng bộ nhớ của chính điện thoại để xây dựng một máy ảo thô sơ , về cơ bản là “máy tính trong máy tính”. Từ đó, máy có thể “khởi động” phần mềm độc hại Pegasus của NSO từ bên trong, cuối cùng chuyển dữ liệu trở lại cho bất kỳ ai đã triển khai khai thác.

Trong một cuộc trao đổi qua email với Gizmodo, Beer và Groß đã giải thích cặn kẽ một chút về cách hoạt động của tất cả những điều này. Các nhà nghiên cứu cho biết cuộc tấn công “cung cấp một tệp nén JBIG2 thực hiện hàng nghìn phép toán cơ bản nhằm giải nén dữ liệu”. “Thông qua các hoạt động đó, trước tiên nó kích hoạt lỗ hổng 'hỏng bộ nhớ' trong JBIG2 và với điều đó sửa đổi bộ nhớ theo cách sau đó cho phép truy cập vào nội dung bộ nhớ không liên quan trong các hoạt động tiếp theo."

Từ đó, chương trình “về cơ bản xây dựng một máy tính nhỏ dựa trên các phép toán cơ bản này, nó sử dụng để chạy mã mà hiện có thể truy cập vào bộ nhớ khác của iPhone bị tấn công,” các nhà nghiên cứu giải thích thêm. Sau khi máy tính mini khởi động và chạy trong điện thoại được nhắm mục tiêu, NSO sử dụng nó để “chạy mã của riêng họ (thay vì của Apple) và sử dụng mã đó để khởi động phần mềm độc hại” từ bên trong thiết bị thực tế, họ nói thêm.

Tóm lại, cách khai thác của NSO có thể điều khiển điện thoại của nạn nhân từ trong ra ngoài và sử dụng tài nguyên của chính thiết bị để thiết lập và chạy các hoạt động giám sát của nó.

Lỗ hổng liên quan đến việc khai thác này đã được sửa trong bản cập nhật iOS 14.8 của Apple (được phát hành vào tháng 9), mặc dù một số nhà nghiên cứu máy tính đã cảnh báo rằng nếu điện thoại của một người bị Pegasus xâm nhập trước khi cập nhật, một bản vá có thể không làm được nhiều việc để giữ những kẻ xâm nhập ngoài.

Phần mềm độc hại của NSO và các phương pháp hack bí ẩn của nó đã là chủ đề của nỗi sợ hãi và suy đoán trong nhiều năm, vì vậy thật tuyệt vời khi Google cuối cùng đã vén bức màn chính xác về cách thức hoạt động của ma thuật đen điện toán này.

Tuy nhiên, trong khi hoạt động bên trong của công cụ đáng sợ này cuối cùng đã được tiết lộ, các nhà sản xuất công cụ này hiện đang vật lộn để tồn tại. Thật vậy, NSO đã trải qua một năm khó khăn - khi công ty phải chen lấn từ vụ bê bối thảm khốc này sang vụ bê bối khác. Các cuộc điều tra báo chí đang diễn ra về sự bất ổn rõ ràng của cơ sở khách hàng của họ đã kết hợp với nhiều vụ kiện từ một số công ty lớn nhất thế giới, các cuộc truy vấn của chính phủ, các lệnh trừng phạt mạnh mẽ từ Mỹ, các nhà đầu tư bỏ trốn và hỗ trợ tài chính.

Đính chính: Một phiên bản trước của câu chuyện này nói rằng Apple đã phát hành bản vá vào tháng 10. Các bản cập nhật bảo mật đã được phát hành vào tháng 9.