Новая цепочка 0-day для iPhone открыла путь шпионскому софту

Новая цепочка 0-day для iPhone открыла путь шпионскому софту

Новая цепочка 0-day для iPhone открыла путь шпионскому софту

Несмотря на санкции и регулярные разоблачения, коммерческие шпионские компании продолжают работать на удивление изощрённо. Новый отчёт Google Threat Intelligence Group (GTIG) показывает: один из самых известных игроков рынка — Intellexa — не просто выжил под давлением, а превратился в одного из крупнейших охотников за уязвимостями нулевого дня.

Intellexa, созданная как поставщик шпионского софта и прославившаяся инструментом Predator, сумела выстроить гибкую инфраструктуру, обходить международные ограничения и собирать цепочки эксплойтов быстрее большинства конкурентов.

По данным Google, с 2021 года компания стоит за 15 уникальными zero-day — внушительная доля от всех критических 0-day, которые TAG обнаруживала за эти годы.

Речь идёт о возможности удалённого выполнения кода, выхода за пределы песочницы, повышении прав в iOS, Android, Chrome и даже архитектуре ARM Mali.

Причём Intellexa всё чаще не пишет эксплойты сама: компания активно закупает части цепочек у внешних разработчиков, что указывает на целую скрытую «экосистему поставщиков» внутри индустрии коммерческого слежения.

Особое внимание исследователей привлекла сложная цепочка атак на iOS, которую внутри Intellexa называют smack. Она включает инструмент для анализа бинарников Mach-O прямо в памяти и позволяет загружать и выполнять код без записи на устройство.

Начинается атака с уязвимости CVE-2023-41993 в Safari, позволяющей получить произвольный доступ к памяти. Любопытная деталь: тот же компонент JSKit, лежащий в основе RCE, ранее замечали в кампаниях якобы российских киберпреступников. Похоже, Intellexa купила этот эксплойт на стороне.

Судя по отладочным строкам, компания располагает как минимум семью вариантами эксплойтов для iOS. После первичного проникновения цепочка использует ещё две уязвимости — CVE-2023-41991 и CVE-2023-41992 — чтобы получить системные привилегии. Финальный модуль PREYHUNTER разворачивает шпионские компоненты: watcher и helper.

 

Watcher выполняет функции собственной «системы безопасности» — отслеживает подозрительные нюансы вроде включённого режима разработчика или установленных защитных приложений и прекращает атаку, если что-то идёт не так. Helper обеспечивает закрепление в системе и выполняет разведку: перехват VoIP-звонков, кейлоггинг, доступ к камере.

По словам Google, такие модули работают как фильтр: операторы сначала проверяют, действительно ли заражение прошло успешно, и только потом запускают полноценный Predator.

Intellexa расширяет и способы доставки атак. Исследователи зафиксировали использование рекламных сетей и сторонних площадок для скрытого снятия цифровых отпечатков пользователей и перенаправления их на вредоносные серверы.

600 млн на кибербезопасность: ФРИИ и Metascan запускают акселератор

Фонд развития интернет-инициатив и компания Metascan осенью запустят акселератор для российских стартапов в области информационной безопасности. В программу отберут до 20 компаний, а до конца 2026 года организаторы рассчитывают заключить до семи инвестиционных сделок.

Акселератор станет первым проектом совместного фонда ФРИИ и Metascan объёмом 600 млн рублей. Партнёры вложили в него поровну. Стартапы смогут получить от 5 млн до 100 млн рублей.

Одна сделка уже закрыта: 40 млн рублей направили разработчику платформы для обучения сотрудников ИБ. На момент инвестирования выручка компании составляла 1,5 млн рублей. Венчурная математика сурова, но любит перспективу больше текущей бухгалтерии.

Программа начнётся 1 октября и продлится два месяца. Участникам потребуется работающий продукт не ниже стадии MVP, а также первые клиенты, пилотные проекты или выручка. Приоритет получат решения для управления уязвимостями, защиты веб-приложений и API, автоматизации ИБ-процессов и применения искусственного интеллекта.

По оценке экспертов, в России работает более 200 зрелых ИБ-стартапов с годовой выручкой до 1 млрд рублей. Их доля среди отечественных компаний отрасли может составлять от 17 до 22%.

Инвестиции им нужны не только для разработки. Проверка гипотез, создание отдела продаж, пилоты у крупных заказчиков, лицензирование и сертификация могут потребовать 50–100 млн рублей. Особенно дорогим билетом на рынок остаётся сертификат ФСТЭК, без которого сложно работать с государственными структурами и объектами критической информационной инфраструктуры.

Акселератор должен дать участникам доступ к экспертам, корпоративным заказчикам и площадкам для пилотирования. Потому что придумать очередной ИБ-продукт сегодня можно довольно быстро. Доказать крупному клиенту, что стартап не исчезнет вместе с его данными после первого обновления, — задача уже совсем другого уровня.

RSS: Новости на портале Anti-Malware.ru