วิธีการทำงานของ iPhone-hacking Exploit

เป็นเวลาหลายปีแล้วที่ NSO Group ผู้ค้าสปายแวร์ของอิสราเอลได้จุดประกายความกลัวและความหลงใหลในหัวใจของประชาคมระหว่างประเทศด้วยผลิตภัณฑ์แฮ็ก ซึ่งขายให้กับรัฐบาลเผด็จการ ทั่วโลกและใช้กับ นักข่าว นักเคลื่อนไหว นักการเมือง และใครก็ตาม โชค ไม่ดีพอที่จะตกเป็นเป้าหมาย บริษัท ซึ่งมักพัวพันกับเรื่องอื้อฉาว มักจะดำเนินการเสมือนกับการใช้คาถาดิจิทัล ด้วยการโจมตีแบบเอารัดเอาเปรียบทางการค้าที่ไม่ต้องการฟิชชิ่งและมัลแวร์ที่มองเห็นได้ทั้งหมด และสามารถเข้าถึงพื้นที่ดิจิทัลส่วนตัวส่วนใหญ่ได้

แต่ความลับดำมืดบางอย่างของ NSO ถูกเปิดเผยต่อสาธารณะอย่างมากเมื่อสัปดาห์ที่แล้ว เมื่อนักวิจัยพยายามแยกแยะในทางเทคนิคว่าการโจมตีแบบ "คลิกศูนย์" ที่ขึ้นชื่ออย่างใดอย่างหนึ่งของบริษัทนั้นทำงานอย่างไร อันที่จริง นักวิจัยที่มี Project Zero ของ Google ได้เผยแพร่รายละเอียดที่แสดงให้เห็นว่าการใช้ประโยชน์จาก NSO ที่เรียกว่า "FORCEDENTRY" สามารถยึดโทรศัพท์ได้อย่างรวดเร็วและเงียบเชียบได้อย่างไร

ช่องโหว่ดังกล่าว ซึ่งออกแบบมาเพื่อกำหนดเป้าหมาย Apple iPhones คาดว่าจะนำไปสู่การแฮ็กอุปกรณ์ในหลายประเทศ ซึ่งรวมถึงเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ หลายคนที่ทำงานในยูกันดา รายละเอียดเบื้องต้นเกี่ยวกับเรื่องนี้ถูกจับโดยCitizen Labหน่วยวิจัยของมหาวิทยาลัยโตรอนโตซึ่งได้ตีพิมพ์งานวิจัยที่เกี่ยวข้องกับกิจกรรมของ NSO เป็นประจำ นักวิจัยของ Citizen Lab สามารถจับโทรศัพท์ที่เคยถูกโจมตีแบบ "คลิกศูนย์" ของบริษัทได้ และในเดือนกันยายน ก็ได้ตีพิมพ์งานวิจัยเบื้องต้นเกี่ยวกับวิธีการทำงานของโทรศัพท์เหล่านั้น ในช่วงเวลาเดียวกัน Apple ได้ประกาศว่ากำลังฟ้อง NSOและยังเผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขปัญหาอีกด้วย  ที่เกี่ยวข้องกับการหาประโยชน์

ในที่สุด Citizen Lab ได้แชร์สิ่งที่ค้นพบกับนักวิจัยของ Google ซึ่งเมื่อสัปดาห์ที่แล้วได้เผยแพร่การวิเคราะห์การโจมตีของพวกเขา อย่างที่คุณคาดไว้ มันเป็นเรื่องที่น่าเหลือเชื่อและน่ากลัว

“จากการวิจัยและการค้นพบของเรา เราประเมินว่าสิ่งนี้เป็นหนึ่งในช่องโหว่ทางเทคนิคที่ซับซ้อนที่สุดเท่าที่เราเคยเห็นมา ซึ่งแสดงให้เห็นเพิ่มเติมว่าความสามารถของ NSO นั้นเป็นคู่แข่งที่คิดไว้ก่อนหน้านี้ว่าสามารถเข้าถึงได้เพียงไม่กี่ประเทศเท่านั้น” เขียน นักวิจัย Ian Beer และ Samuel Groß

สิ่งที่น่ากลัวที่สุดเกี่ยวกับ FORCEDENTRY อาจเป็นเพราะนักวิจัยของ Google ระบุว่าสิ่งเดียวที่จำเป็นต้องแฮ็คบุคคลคือหมายเลขโทรศัพท์หรือชื่อผู้ใช้ AppleID

การใช้ตัวระบุตัวใดตัวหนึ่งเหล่านี้ ผู้ครอบครองการใช้ประโยชน์จาก NSO สามารถประนีประนอมกับอุปกรณ์ใดๆ ที่พวกเขาต้องการได้อย่างง่ายดาย ขั้นตอนการโจมตีนั้นเรียบง่าย: สิ่งที่ดูเหมือน GIF นั้นถูกส่งข้อความไปยังโทรศัพท์ของเหยื่อผ่าน iMessage อย่างไรก็ตาม รูปภาพที่เป็นปัญหาไม่ใช่ GIF จริงๆ แทนที่จะเป็น PDF ที่เป็นอันตรายซึ่งแต่งด้วยนามสกุล .gif ภายในไฟล์มีเพย์โหลดที่เป็นอันตรายที่ซับซ้อนสูง ซึ่งสามารถจี้จุดอ่อนในซอฟต์แวร์ประมวลผลภาพของ Apple และใช้เพื่อเข้าควบคุมทรัพยากรอันมีค่าภายในอุปกรณ์เป้าหมายอย่างรวดเร็ว ผู้รับไม่จำเป็นต้องคลิกที่ภาพเพื่อเปิดใช้งานฟังก์ชันที่เป็นอันตราย

ในทางเทคนิค สิ่งที่ FORCEDENTRY ทำคือใช้ประโยชน์จากช่องโหว่ซีโร่เดย์ภายในไลบรารีการแสดงผลภาพของ Apple CoreGraphics ซึ่งเป็น ซอฟต์แวร์ที่ iOS ใช้ในการประมวลผลภาพและสื่อบนอุปกรณ์ ช่องโหว่ดังกล่าว ซึ่งติดตามอย่างเป็นทางการในชื่อCVE-2021-30860มีความเกี่ยวข้องกับโค้ดโอเพนซอร์ซเก่าฟรีที่ iOS เห็นได้ชัดว่าใช้ประโยชน์จากการเข้ารหัสและถอดรหัสไฟล์ PDF ซึ่งเป็น การนำ Xpdfไปใช้ของ JBIG2

นี่เป็นจุดที่การโจมตีรุนแรงมาก ด้วยการใช้ประโยชน์จากช่องโหว่ในการประมวลผลภาพ FORCEDENTRY สามารถเข้าไปในอุปกรณ์เป้าหมายและใช้หน่วยความจำของโทรศัพท์เพื่อสร้างเครื่องเสมือน พื้นฐาน โดยพื้นฐานแล้วคือ "คอมพิวเตอร์ภายในคอมพิวเตอร์" จากจุดนั้น เครื่องสามารถ "บูตสแตรป" มัลแวร์ Pegasus ของ NSO จากภายใน และส่งข้อมูลกลับไปยังใครก็ตามที่นำช่องโหว่นี้ไปใช้ในท้ายที่สุด

ในการแลกเปลี่ยนอีเมลกับ Gizmodo นั้น Beer และ Groß ได้อธิบายรายละเอียดเล็กน้อยเกี่ยวกับวิธีการทำงานทั้งหมด การโจมตี "จัดหาไฟล์บีบอัด JBIG2 ซึ่งดำเนินการทางคณิตศาสตร์ขั้นพื้นฐานนับพันครั้งซึ่งเดิมมีไว้สำหรับการขยายข้อมูล" นักวิจัยกล่าว “ด้วยการดำเนินการเหล่านั้น ขั้นแรกจะทำให้เกิดช่องโหว่ 'หน่วยความจำเสียหาย' ใน JBIG2 และด้วยการปรับเปลี่ยนหน่วยความจำในลักษณะที่อนุญาตให้เข้าถึงเนื้อหาหน่วยความจำที่ไม่เกี่ยวข้องในการดำเนินการที่ตามมา”

จากจุดนั้น โปรแกรม "สร้างคอมพิวเตอร์เล็กๆ ขึ้นมาจากการดำเนินการทางคณิตศาสตร์พื้นฐานเหล่านี้ ซึ่งมันใช้เพื่อเรียกใช้โค้ดที่สามารถเข้าถึงหน่วยความจำอื่นๆ ของ iPhone ที่ถูกโจมตีได้" นักวิจัยอธิบายเพิ่มเติม หลังจากที่มินิคอมพิวเตอร์เริ่มทำงานภายในโทรศัพท์เป้าหมายแล้ว NSO จะใช้มันเพื่อ "เรียกใช้รหัสของตนเอง (แทนที่จะเป็นของ Apple) และใช้เพื่อเริ่มระบบมัลแวร์" จากภายในอุปกรณ์จริง พวกเขาเพิ่ม

เรื่องสั้นโดยย่อ การใช้ประโยชน์จาก NSO สามารถสั่งการโทรศัพท์ของเหยื่อจากภายในสู่ภายนอก และใช้ทรัพยากรของอุปกรณ์ในการตั้งค่าและดำเนินการเฝ้าระวัง

ช่องโหว่ที่เกี่ยวข้องกับช่องโหว่นี้ได้รับการแก้ไขแล้วในการอัปเดต iOS 14.8 ของ Apple (ออกในเดือนกันยายน) แม้ว่านักวิจัยคอมพิวเตอร์บางคนได้เตือนว่าหากโทรศัพท์ของบุคคลถูกบุกรุกโดย Pegasus ก่อนการอัปเดต แพตช์อาจไม่สามารถทำทุกอย่างเพื่อป้องกันไม่ให้ผู้บุกรุก ออก.

มัลแวร์ของ NSO และวิธีการแฮ็กลึกลับของ NSO เป็นเรื่องของความกลัวและการคาดเดามาหลายปี ดังนั้นจึงเป็นเรื่องน่าทึ่งที่ในที่สุด Google ก็ดึงม่านกลับมาอย่างแม่นยำว่าเวทย์มนต์ดำในการคำนวณชิ้นนี้ทำงานอย่างไร

ทว่าในขณะที่ผลงานภายในของเครื่องมือที่น่าสะพรึงกลัวนี้ได้รับการเปิดเผยในที่สุดแล้ว แต่ผู้ผลิตเครื่องมือนี้ก็ยังดิ้นรนเอาชีวิตรอด อันที่จริง NSO ประสบกับปีที่ยากลำบากมาก—ในขณะที่บริษัทต้องเผชิญเรื่องอื้อฉาวที่เลวร้ายครั้งนั้นไปสู่อีกปีหนึ่ง การสืบสวนอย่างต่อเนื่องของนักข่าวเกี่ยวกับการประพฤติมิชอบที่เห็นได้ชัดของฐานลูกค้านั้นถูกจับคู่กับคดีฟ้องร้องหลายคดีจากบริษัทยักษ์ใหญ่ระดับโลกบางแห่ง การไต่สวนของรัฐบาล การคว่ำบาตรที่ทรงอำนาจจากสหรัฐฯ และนักลงทุนที่หลบหนีและการสนับสนุนทางการเงิน

การแก้ไข: เวอร์ชันก่อนหน้าของเรื่องนี้กล่าวว่า Apple ออกแพตช์ในเดือนตุลาคม การอัปเดตความปลอดภัยออกในเดือนกันยายน