Apple выпустила патч против шпионского софта Triangulation, который недавно нашли у себя сотрудники «Касперского»

В среду компания Apple выпустила патчи для iOS, MacOS, iPadOS и WatchOS, которые устраняют уязвимость, позволяющую установить шпионское ПО даже без действий со стороны пользователя. Три недели назад «Лаборатория Касперского» сообщила об обнаружении шпионского софта Triangulation (TriangleDB) на смартфонах Apple. Речь шла как минимум о десятках смартфонов сотрудников лаборатории и других граждан. Шпионское ПО попадает на iPhone через вредоносные сообщения в iMessage.

По данным Apple, шпионское ПО довольно мощное. По информации «Лаборатории Касперского», имплант TriangleDB загружается на устройства после того, как атакующие получают root-права в результате успешной эксплуатации уязвимости в ядре iOS. Для этого они отправляют через iMessage заражённое сообщение с которым пользователю даже не нужно взаимодействовать — заражение происходит автоматически. Софт работает только в оперативной памяти, поэтому его следы теряются при перезагрузке устройства.

Если жертва перезагружает смартфон, то атакующим приходится снова заражать его: для этого необходимо отправлять сообщение iMessage с вредоносным вложением и вновь инициировать всю цепочку заражения. Если перезагрузки не происходит, то вирус работает 30 дней и, если злоумышленники не продлевают этот срок, затем самоудаляется. По данным Apple, шпионское ПО также использовало и ранее неизвестную уязвимость в iOS 15, затрагивающую движок браузера для Safari. Компании пришлось выпустить обновления безопасности и для старых смартфонов.

Эксперты «Касперского» заявили, что ушло примерно полгода на то, чтобы собрать достаточно свидетельств того, как работает шпионское программное обеспечение. В лаборатории утверждают, что софт способен осуществлять:

• манипуляции с файлами, включая создание, модификацию, удаление и эксфильтрацию;
• манипуляции с запущенными процессами, включая получение списка и их завершение;
• эксфильтрацию элементов связки ключей iOS (keychain), которые могут содержать учётные данные для разных сервисов, сертификаты и прочие ключи;
• передачу данных геопозиционирования, включая координаты, высоту, скорость и направление движения.

Дополнительно вредоносный имплант может загружать в память телефона и запускать новые модули и, по имеющимся данным, поражать и другие операционные системы экосистемы Apple. Хотя в самой «Лаборатории Касперского» не сообщали, кто именно мог создать и использовать программное обеспечение, ФСБ сообщала о разведывательной акции американских спецслужб с заражением смартфонов государственных служащих. Разумеется, Apple опровергает любое участие в подобной деятельности.

Пользователи, подозревающие постороннее вмешательство в работу своих смартфонов, могут обновить операционную систему либо вручную, либо она обновится автоматически, если это указано в настройках.