エジプトの商用監視企業が悪用した0-day脆弱性

• GoogleのThreat Analysis Group(TAG)とThe Citizen Labは、商用監視企業Intellexaが開発したiPhone向け0-day攻撃チェーンを発見しました。
• この攻撃チェーンは、ユーザーの知識なしにIntellexaのPredatorスパイウェアをデバイスにインストールするために使用されます。
• AppleはiOS 16.7およびiOS 17.0.1でCVE-2023-41991、CVE-2023-41992、CVE-2023-41993のバグを修正しており、すべてのiOSユーザーに対して、できるだけ早くこのパッチを適用するよう推奨しています。
• 攻撃チェーンは「中間者攻撃」(MITM)を通じて配信され、この攻撃では攻撃者が標的のWebトラフィックを傍受して別のWebサイトへリダイレクトします。
• iOS向けの攻撃チェーンには3つの脆弱性が含まれています: Safariでの初期のリモートコード実行、PACバイパス、XNUカーネルでのローカル権限昇格です。
• 攻撃者はまた、MITMインジェクションと標的に直接送信したワンタイムリンクを通じて、エジプトのAndroidデバイスにPredatorをインストールする攻撃チェーンも保有していました。
• ChromeはMITM攻撃に備えて、Web全体でのHTTPSの普遍的な採用に取り組んでおり、すべてのページをHTTPSで読み込もうとする「HTTPS-First Mode」を備えています。
• このキャンペーンは、商用監視企業によるリスクと、オンラインユーザーの安全に及ぼすその影響を示す一例です。
• TAGは商用スパイウェア産業に対する対応を継続し、これに関する研究を発表し、この取り組みを前進させるために公共部門および民間部門と協力していく計画です。
• The Citizen Labは、こうした攻撃の捕捉と分析における協力とパートナーシップが評価され、Appleはオンラインユーザーの安全のために適時にパッチを配布したことについて謝意を示しました。

[GN⁺]

Hacker News のコメント

• エジプトの商用監視業者が 0-day 脆弱性を悪用している問題に関する記事。
• Android におけるサンドボックス脱出の性質に疑問を投げかけるとともに、Chrome のパッチへの懸念が示されている。
• HTTP とワンタイムリンクの傍受を含む標的型キャンペーンが攻撃経路だったが、これが広告キャンペーンやスパムを通じてボットネットを構築したり、ユーザー認証情報を盗んだりするために広く使われうるとの懸念がある。
• 攻撃は HTTP を使って初期ペイロードを注入するが、国家支援の攻撃者が CA または CDN インフラを潜在的に掌握できる可能性があるとの指摘がある。
• Google や Apple のような巨大テック企業が、なぜスパイウェア企業や 0-day 業者の従業員を雇ってこのような脆弱性を見つけさせないのか、という疑問が呈されている。
• この脆弱性は、エジプト当局によって大統領候補アフメド・エル・タンタウィの携帯電話をハッキングするために使われた可能性があると疑われている。
• 一部のユーザーは、アップデートの適用や HTTPS-Only モードの使用など、自衛のための対策を講じている。
• Google がその業者の使用していたドメインを公開した可能性があり、その結果として自警行為を招くのではないかという憶測がある。
• iOS の Lockdown モードがこの攻撃チェーンを阻止したことが言及されている。
• JavaScript がデフォルトで無効化されていた場合でも、この攻撃が依然として機能するのかという疑問が提起されている。