A principios del verano de 2023, Kaspersky descubrió un ataque dirigido a dispositivos iOS. Esta campaña, denominada «Operación Triangulación», utilizó un método sofisticado para distribuir exploits sin clics a través de iMessage. El objetivo era obtener control total sobre el dispositivo y los datos del usuario.
Los expertos del Equipo de Análisis e Investigación Global (GReAT) de Kaspersky determinaron que el objetivo principal del actor malicioso podría ser monitorear discretamente a los usuarios objetivo, incluidos los miembros del personal de Kaspersky. Dada la complejidad del ataque y la naturaleza cerrada del ecosistema iOS, se formó un equipo dedicado que dedicó mucho tiempo y recursos a realizar un análisis técnico detallado.
“No sabemos quién atacó a Kaspersky, al menos no oficialmente. Kaspersky no ha escrito nada sobre esto y podría ser (perdón por la caricatura) el gobierno de Estados Unidos o el gobierno ruso. Y cuando digo ‘Estados Unidos’ me refiero a países del ámbito angloamericano.”, dice Fred Raynal, director ejecutivo de Quarkslab.
Lo más sorprendente de este ataque es su naturaleza altamente sofisticada. “Los ataques sin clic son muy caros de realizar. En realidad, un ataque como este está muy organizado. Fue diseñado por personas con importantes recursos técnicos. No cualquiera puede hacer esto. Debe haber sido un actor estatal.”, dice Fred Raynal.
Triangulación: cinco vulnerabilidades explotadas
Los investigadores de Kaspersky identificaron un punto de entrada inicial a través de una vulnerabilidad en la biblioteca de procesamiento de fuentes. La segunda era una vulnerabilidad extremadamente poderosa y fácilmente explotable en el código de mapeo de memoria que permitía a los atacantes acceder a la memoria física del dispositivo. Además, los atacantes aprovecharon otras dos fallas para eludir las funciones de seguridad del hardware del último procesador de Apple.
Kaspersky también descubrió que, además de la capacidad de infectar remotamente dispositivos Apple a través de iMessage sin la intervención del usuario, los atacantes también tenían una plataforma para llevar a cabo ataques a través del navegador Safari. Esto llevó a la detección y solución de la quinta vulnerabilidad.
Una vez implantado el código malicioso en el teléfono, los atacantes tuvieron acceso a todo su contenido y pudieron monitorear lo que hace el usuario: su posición GPS, sus fotos, sus mensajes, sus llamadas y mucho más.
iOS: una caja negra donde se puede esconder el software espía
En un serie de cuatro publicaciones En LinkedIn, Fred Raynal detalló el método operativo de la Operación Triangulación. Explicó por qué estaba publicando esto. “Quería mostrar que los ataques a los iPhone existen, a pesar de que Apple y su comunidad afirman que no puedes ser pirateado si tienes un iPhone. Resulta que estos no son los mismos atacantes ni los mismos métodos de ataque que en Android.«
Eugene Kaspersky, fundador y director ejecutivo de la empresa que lleva su nombre, acepta una entrada en el blog de fecha 1 de junio de 2023.”Creemos que la razón principal de este incidente es la naturaleza cerrada de iOS. Este sistema operativo es una “caja negra” en la que el software espía como Triangulación puede esconderse durante años. Detectar y analizar amenazas como estas es más difícil debido al monopolio de Apple sobre las herramientas de investigación, lo que lo convierte en un refugio ideal para el software espía..”
“Es decir, como he dicho varias veces, los usuarios tienen la ilusión de seguridad dada la total opacidad del sistema. Los expertos en ciberseguridad no saben qué sucede realmente en iOS. El hecho de que no haya noticias sobre los ataques no significa que los ataques sean inherentemente imposibles; acabamos de ver lo contrario.”, dice el fundador de Kaspersky.
Apple ha publicado oficialmente actualizaciones de seguridad para corregir las cuatro vulnerabilidades de “día cero” descubiertas por los investigadores de Kaspersky (CVE-2023-32434, CVE-2023-32435, CVE-2023-38606, CVE-2023-41990). Estas vulnerabilidades afectaron a una amplia gama de productos Apple, incluidos iPhones, iPods, iPads, dispositivos macOS, Apple TV y Apple Watch.
“Las características de seguridad del hardware de los dispositivos con los últimos chips de Apple los hacen considerablemente más resistentes a los ciberataques. Sin embargo, eso no los hace inmunes. La Operación Triangulación nos recuerda que debemos tener cuidado al tratar con archivos adjuntos de iMessage provenientes de fuentes desconocidas. Las estrategias utilizadas en la Operación Triangulación nos brindan información valiosa y nos recuerdan que encontrar un equilibrio entre la privacidad y la accesibilidad del sistema puede ayudar a mejorar la seguridad.”, dice Boris Larin, investigador jefe de seguridad de GReAT en Kaspersky.
Para evitar ser víctima de un ataque dirigido por parte de un actor de amenazas conocido o desconocido, los investigadores de Kaspersky recomiendan tomar las siguientes medidas:
- Actualice periódicamente su sistema operativo, aplicaciones y sistema antivirus para corregir fallas conocidas.
- Tenga cuidado con los correos electrónicos, mensajes y llamadas telefónicas solicitando información confidencial. Verifique la identidad del remitente antes de compartir cualquier información personal o hacer clic en enlaces sospechosos.
- Proporcione a su SOC acceso a la información más reciente sobre amenazas.
- Mejore las habilidades de ciberseguridad de su equipo mediante capacitación para que puedan enfrentar las últimas amenazas específicas.
- Configure soluciones EDR para la detección en puntos de acceso y para investigar y resolver incidentes rápidamente.
