Защита авторов Триангуляции была взломана с помощью MitM и промашки Apple

Защита авторов Триангуляции была взломана с помощью MitM и промашки Apple

Защита авторов Триангуляции была взломана с помощью MitM и промашки Apple

На конференции SAS эксперты Глобального центра исследований «Лаборатории Касперского» (GReAT) рассказали, как им удалось преодолеть аппаратную защиту Apple и добраться до эксплойтов, задействованных в «Операции Триангуляция».

Напомним, в рамках кампании кибершпионажа, получившей кодовое имя «Операция Триангуляция», злоумышленники рассылали сообщения iMessage с прикрепленным файлом, запускающим цепочку заражения. После отработки эксплойтов на iPhone внедрялся бестелесный зловред для скрытного сбора информации и мониторинга.

Из-за сложности атаки и закрытости iOS технический анализ в Kaspersky затянулся. Чтобы выяснить, как действовали злоумышленники, экспертам пришлось проявить изобретательность. В частности, им нужно было придумать, каким образом обойти шифрование вложений iMessage.

С этой целью пришлось изучить процесс отправки таких файлов с участием iCloud. Как оказалось, для получения вредоносного вложения нужно извлечь два компонента: зашифрованный текст и ключ AES, который в облаке дополнительно шифруется с помощью открытого RSA-ключа.

Шифротекст удалось добыть перехватом трафика к серверам iCloud через mitmproxy. Проделать то же самое с ключом было нельзя, поскольку он отправляется получателю по протоколу iMessage.

В итоге было решено вмешаться в процесс загрузки вложения таким образом, чтобы ключ сохранился в базе данных SMS.db. Для этого исследователи изменили несколько байт в шифротексте с помощью дополнения для mitmproxy, а затем загрузили с заражённого устройства резервную копию iTunes и извлекли ключ из содержащейся в ней базы данных.

После получения эксплойтов оставалось лишь раздобыть сам имплант. Решить эту проблему вновь помогли MitM-атака и нарушение процесса шифрования через правку кода с помощью того же дополнения для mitmproxy (его пришлось немного подкрутить).

«Аппаратные средства защиты устройств с новыми чипами Apple значительно повышают их устойчивость к кибератакам, хотя они не являются полностью неуязвимыми, — комментирует эксперт Kaspersky Борис Ларин. — Операция Триангуляция — это напоминание о том, как важно с осторожностью относиться к вложениям, которые приходят в iMessage из незнакомых источников. Выводы о стратегиях в этой кампании могут послужить ценным руководством для противодействия подобным атакам».

Благодаря исследованию Kaspersky в iOS и iPadOS удалось выявить четыре уязвимости нулевого дня (авторы «Триангуляции» суммарно использовали пять): CVE-2023-32434, CVE-2023-32435, CVE-2023-38606 и CVE-2023-41990. Оказалось, что они актуальны также для macOS, tvOS и watchOS. Все дыры уже пропатчены.

 

В помощь потенциальным жертвам «Триангуляции» эксперты создали утилиту для проверки iPhone на предмет заражения и планируют продолжить череду публикаций по результатам исследования.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Перед Чёрной пятницей выросло число персонализированных атак на россиян

В преддверии «Чёрной пятницы» и сезона массовых распродаж Mail, «Лаборатория Касперского» и МегаФон предупредили о заметном росте мошеннической активности в цифровых каналах. По данным аналитиков Почты Mail и МегаФона, мошенники всё чаще отказываются от «веерных» рассылок и переходят к точечным, персонализированным атакам.

По данным Почты Mail, фишинговая активность выросла примерно на 10% по сравнению с прошлым годом. В лидерах остаются:

  • «розыгрыши от маркетплейсов»;
  • фейковые письма с реферальными ссылками;
  • страницы, имитирующие популярные интернет-магазины.

Специалисты отмечают, что мошенники активно сегментируют жертв и адаптируют сценарии обмана под конкретные группы пользователей. Это делает атаки более реалистичными и сложными для автоматической фильтрации.

По данным МегаФона, создатели фейковых страниц, которые маскируются под акции известных брендов, продолжают проявлять высокую активность. Однако количество заблокированных подозрительных звонков в октябре 2025 года снизилось более чем на 50% по сравнению с октябрём 2024-го.

При этом мошенники всё чаще используют сценарии, в которых жертву подталкивают самостоятельно выйти на связь — например, через «службу поддержки» или «оператора акции».

Аналитики «Лаборатории Касперского» сообщили, что число русскоязычных писем со ссылками на «чёрную пятницу» в октябре 2025 года выросло почти в девять раз по сравнению с тем же периодом 2024 года. Многие такие письма содержат фишинговые ссылки или скам-предложения.

По словам экспертов, злоумышленники активно меняют содержание писем, структуру текста и типы ссылок, чтобы обходить фильтры. Есть признаки, что в новых рассылках используются ИИ-инструменты.

Специалисты советуют пользователям внимательно относиться к письмам с акционными предложениями, не переходить по подозрительным ссылкам и не открывать вложения от неизвестных отправителей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru