三角測量作戦

Operation Triangulation は、 4 つのゼロデイ脆弱性を連鎖的に利用して実行される iOS デバイスに対する標的型サイバー攻撃です。2023 年 6 月に初めて公開され、iOS 攻撃の中では前例のない技術的複雑さで注目されています。被害者の数は数千人と推定されています。

攻撃の目的はスパイ活動で、デバイスからメッセージやパスワードを抜き出し、会話を記録し、位置情報を追跡することだった。攻撃者のステルス性が非常に高いため、被害者の正確な数は不明である。一部の情報源は、ロシアの商業、政府、外交機関や海外の代表者を含む数千人の被害者がいると推定している。^[1]

2023年6月1日：カスペルスキーは、従業員のiOSデバイスで新しい種類のマルウェアの痕跡を発見したことを発表しました。このマルウェアはスパイ活動を目的として設計されており、非常にステルス性が高く、感染したiPhoneとの異常なデータ交換によってのみ検出されます。調査員は、2019年にさかのぼる最初の感染の痕跡を発見しました。この攻撃は、オペレーション・トライアンギュレーションと名付けられました。^[2]

triangle_checkと呼ばれるツールがリリースされ、ユーザーはiOSデバイスが侵害されているかどうかを確認し、攻撃の被害者であるかどうかを判断できるようになりました。^{[3] [4] [5]}

2023年6月21日：カスペルスキーが攻撃に使用されたTriangleDBインプラントに関する調査結果を発表。^{[6] [7]}

同日、AppleはiOS 15.xと16.xのアップデートをリリースし、攻撃に使用された2つの脆弱性（iOSカーネルのCVE-2023-32434とWebKitブラウザエンジンのCVE-2023-32435）に対処しました。これらの脆弱性により、iOSのセキュリティシステムを回避してiPhoneに密かに感染することが可能になります。^[8]

2023年7月24日： AppleはiOS 15.xおよび16.xのアップデートをリリースし、iOSカーネルのCVE-2023-38606脆弱性とFontParserフォント処理メカニズムのCVE-2023-41990に対処しました。これらの脆弱性は、Operation Triangulationの感染チェーンの一部でもありました。^{[9] [10]}

2023年10月23日：カスペルスキーは、攻撃者による潜在的な被害者の多段階検証に関するデータを公開しました。このフィルタリングプロセスにより、攻撃者は意図したターゲットのみに感染し、セキュリティ研究者の目を逃れることができます。^[11]

2023年10月26日：セキュリティアナリストサミットで、オペレーション・トライアンギュレーションの調査プロセスと感染チェーンのすべてのコンポーネントを特定するための取り組みに関する報告書が発表されました。^{[12] [13]}

2023年12月27日：カオスコミュニケーション会議で、完全な攻撃チェーンと、Appleプロセッサの文書化されていない機能を含む攻撃に使用された4つの脆弱性に関するレポートが発表されました。^{[14] [15] [16] [17] [18]}

2023年12月28日：ハッカーのヘクター・マーティンは、トライアンギュレーション作戦でAppleプロセッサの文書化されていない機能が使用されていることを知り、そのメカニズムと目的に関する既知の情報を共有した。^[19]

トライアンギュレーション作戦は、iOS攻撃としては前例のないほど技術的な複雑さを誇ります。感染チェーンは14段階に分かれており、4つのゼロデイ脆弱性とAppleプロセッサの文書化されていないハードウェア機能を利用しています。既知の攻撃はすべてiOSバージョン15.7.xまでを対象としていましたが、その手法はiOS 16.2まで有効です。^[20]

特別に細工された iMessage が iPhone で受信されると、悪意のあるコードが起動されます。このメッセージはユーザーには見えません。その後、Operation Triangulation のコマンド サーバーから追加のコンポーネントがダウンロードされ、デバイスに昇格した権限が付与され、デバイスのコンテンツと機能に広範囲にアクセスできるスパイウェアが展開されます。

最初の感染は目に見えない iMessage を通じて行われます。.watchface (時計画面のデザイン、基本的には PDF が埋め込まれた ZIP ファイル) としてパッケージ化された悪意のある iMessage 添付ファイルは、バックグラウンドで Safari を開くコードを実行し、その後、Web ページから感染チェーンの次のコンポーネントを読み込みます。

ウェブページには、感染したスマートフォンのパラメータを分析し、感染を継続するかどうかを決定する検証スクリプトが含まれています。ウェブページに三角形を描くキャンバス フィンガープリンティング技術は、被害者を一意に識別するために使用されます。この三角形が、キャンペーン全体の名前の由来となっています。

この攻撃は、これらの段階で CVE-2023-41990、CVE-2023-32434、CVE-2023-38606 のゼロデイ脆弱性を悪用します。

チェックに合格すると、Web ページ上のスクリプトは CVE-2023-32435 の脆弱性をさらに悪用し、デバイスのメモリにバイナリ コードをロードしてルート権限を取得し、攻撃者の目的に合わせてスマートフォンのより詳細なチェックを実行します。このバイナリ バリデータは、受信した iMessage の痕跡も削除し、主な悪意のあるインプラントである TriangleDB をロードします。

このマルウェアはスマートフォンのメモリ内でのみ動作するため、再起動すると消去されます。その後、攻撃者は iMessage を再送信して被害者を再び感染させることができます。

最近の世代の Apple プロセッサ (A12～A16) のメモリ保護を回避するために、CVE-2023-38606 カーネル脆弱性のエクスプロイトでは、プロセッサの文書化されていないハードウェア機能が使用されます。

このエクスプロイトはMMIOレジスタに書き込みますが、これはドキュメントには記載されておらず、iOSアプリケーションやiOSオペレーティングシステム自体では使用されていません。その結果、エクスプロイトコードはiOSカーネルメモリのハードウェア保護領域を変更することができます。カスペル​​スキーの研究者は、このメカニズムはおそらくプロセッサ自体をデバッグするために作成されたと示唆しています。^{[17] [18]}

一部の専門家は、この機能について知っている人は「AppleとARM Holdingsのようなチップサプライヤー以外ではほとんどいない」と考えている。^[21]

ヘクター・マーティンは、メモリキャッシュへの直接書き込みに基づく攻撃メカニズムの可能性について説明しました。これにより、場合によっては保護メカニズムを回避できるようになります。^[19]

TriangleDB マルウェアはモジュール構造になっているため、サーバーから追加のモジュールをダウンロードすることで機能を拡張できます。

基本バージョンでは、デバイスから攻撃者のサーバーにファイルをアップロードしたり、キーチェーンからデータを抽出したり、被害者の位置情報を追跡したり、スマートフォン上のファイルやプロセスを変更したりすることができます。^[7]

既知の追加モジュールは、長時間のマイク録音（機内モードを含む）、デバイスに保存されているデータベースへのクエリの実行、WhatsAppやTelegramからのチャットの盗難をサポートしています。^{[21] [12]}

更新をブロックする

Operation Triangulationマルウェアによるスマートフォン感染の明らかな兆候は、iOSを新しいバージョンにアップデートできないことです。しかし、感染したデバイスの中には、正常にアップデートを続けているものもあります。^[22]

iTunesバックアップ分析

感染の痕跡はiPhoneのシステムファイルで見つかる。これらのファイルはiOSデバイス自体からはアクセスできないため、コンピュータ上のiTunesでiPhoneのバックアップを作成し、分析する。分析にはtriangle_checkユーティリティを使用する。^{[3] [4] [23]}

ネットワーク接続分析

トライアンギュレーション作戦の悪意あるコードは攻撃者のサーバーとの接続を確立し、そのリストが公開されている。^[2]

感染の除去

研究者は、完全に侵害されたデバイスの場合、再感染を防ぐために、工場出荷時の状態にリセットし、iMessageを無効にし、iOSを新しいバージョンに更新するという一連のアクションを推奨しています。^[2]

カスペルスキー社は、攻撃の起源について公式声明を出していないほか、攻撃が特定のハッカーグループや国によるものであるとも言及していない。

しかし、2023年6月1日、ロシア連邦保安庁（FSB）は、「メーカーが提供したソフトウェアの脆弱性」を利用してAppleの携帯電話に影響を及ぼすマルウェアが発見されたという声明を発表した。FSBはまた、AppleがNSAと協力していると直接非難した。声明では、ロシア国外のNATO諸国、旧ソ連圏、イスラエル、シリア、中国を含む数千台の携帯電話が感染したと示唆した。^{[24] [25]}

アップルは同日声明を発表し、これらの告発を否定した。^[26]

FSBとカスペルスキーはそれぞれ独立した声明を発表した。しかし、一部の専門家は、両者とも三角測量作戦に言及していると考えている。^{[27] [28] [29] [30]}

アップルは、諜報機関と協力してバックドアを埋め込んだという非難を公式に否定した。^[26]

同社は、オペレーション・トライアンギュレーションの標的となったiOSの脆弱性を修正するためのアップデートパッケージをいくつかリリースした。^[31]

2023年7月から8月にかけて、ロシアのデジタル開発省、産業貿易省、運輸省、連邦税務局、ロシア鉄道など、いくつかのロシア政府機関や商業機関で、Appleのスマートフォンやタブレットの公的な使用が禁止されたことが明らかになった。2023年後半には、中央銀行と非常事態省も同様の決定を下した。^[32]

2023年9月、中国政府がiPhoneの使用禁止を公務員だけでなく国営企業にも拡大することを決定したことが明らかになった。^[33]

2024年、韓国国防省は安全上の理由からiPhoneの使用禁止を発表したが、Androidスマートフォンは禁止されなかった。^[34]

トライアンギュレーション作戦のエクスプロイトコードは史上最も複雑なものと言われている。^[21]

この攻撃の最も注目すべき特徴は、攻撃者が文書化されていないAppleチップの機能を知っていたことと、1回の攻撃で4つのゼロデイ脆弱性を利用したことである。^[35]

暗号学者ブルース・シュナイアーは、この攻撃を「極めて高度で狂気じみたもの」であり「国家レベルのもの」と評した。^[36]

イーロン・マスク氏も攻撃の複雑さと防御方法の可能性に興味を示した。^[37]