脱獄せずにApple iDeviceを侵害することに特化したハッキン​​グチームサイバーグループ

FireEyeの会社は 、ハッキングチームのサイバーグループが脱獄せずにiDeviceを侵害するためにiOSのMasque脆弱性を使用したことを報告しました。 このため、WhatsApp、Twitter、Facebook、Facebook Messenger、WeChat、Google Chrome、Viber、Blackberry Messenger、Skype、Telegram、VKなど、ソーシャルサービスのあらゆる種類の正当な類似物をシミュレートする偽のアプリケーションが作成されています。 アプリケーションには元のバンドルIDが含まれていたため、インストール済みの正当なアプリケーションのすべてのデータにアクセスできました。







オリジナルのMasque脆弱性（CVE-2014-4493） は 、今年の初めにiOS 8.1.3のリリースでApple によって閉じられました。 iOS 8.4のリリースにより、Masque に類似した脆弱性がさらにいくつか閉鎖され 、既存のバンドルIDを持つアプリケーションがインストールされたアプリケーションのデータにアクセスできるようになりました。



さまざまな機密ユーザー情報を盗むことに特化した上記の正当なアプリケーションの偽の対応物。

• Skype、Webchatなどでの音声会話の記録
• Skype、WhatsApp、Facebookメッセンジャーなど、さまざまなインスタントメッセンジャーのテキストメッセージ。
• Google Chrome Webブラウザのウェブ履歴。
• 電話。
• SMSおよびiMessageのテキストメッセージコンテンツ。
• GPS座標。
• 連絡先情報。
• 写真

偽のアプリケーションを作成するために、正当なものが使用されました。その中には、特別な悪意のあるコンテンツが埋め込まれています-_PkgSignと呼ばれる動的ライブラリ（dylib） です 。 iOSにこのライブラリのコードを強制的に実行させるために、 LC_LOAD_DYLIBコマンドがアプリケーション実行可能ファイル（Mach-O）に埋め込まれました。



悪意のある動的ライブラリは、多数の多様な機能を傍受することを専門としており、それによって機密ユーザーデータを取得します。 したがって、ユーザーのデータを操作するアプリケーションは正規のものではなくなりますが、通常のアプリケーションと変わらないように見えるため、ユーザーには見えません。





図 悪意のあるライブラリ（FireEyeデータ）によってインストールされたフックの1つ。



システムにMasque脆弱性を使用して偽のアプリケーションをインストールすることは、ジェイルブレイクなしでiOSを侵害する数少ない方法の1つではありますが、そうではありません。 Appleは以前、脆弱性を解消するために必要な措置を講じています（CVE-2014-4493、CVE-2015-3722、CVE-2015-3725）。