Operation Triangulation ist der Codename für einen mutmaßlich gezielten Cyberangriff eines unbekannten Advanced Persistent Threat auf iPhones und iPads von Sicherheitsforschern, unter anderem der Firma Kaspersky Lab. Der Angriff, der im Juni 2023 erstmals bekannt gegeben wurde, zeichnet sich durch eine für iOS-Angriffe beispiellose technische Komplexität aus. Unter anderem wurde eine Kette von vier Zero-Day-Exploits genutzt. Kaspersky spricht von dem ausgefeiltesten Angriff, den sie jemals analysiert haben. Dabei ziehen die Wissenschaftler Parallelen zu den Angriffen durch die Spionagesoftware Pegasus der NSO Group und andere Spionagesoftware, wie Predator, welche in ihrer Komplexität vergleichbar seien. Man geht von mehreren Tausend Angriffsopfern aus.https://www.heise.de/news/Operation-Triangulation-Raffiniertester-Exploit-aller-Zeiten-auf-iPhones-9583427.htmlhttps://www.derstandard.de/consent/tcf/story/3000000201148/triangulation-jahrelange-iphone-ueberwachung-hebelte-geheime-abwehrfunktion-aus
Ziele und betroffene Personen Es handelte sich um einen Spionageangriff, der darauf abzielte, Nachrichten und Passwörter von Geräten zu extrahieren, Gespräche aufzuzeichnen und Standorte zu verfolgen. Die genaue Zahl der Opfer ist aufgrund der ausgeklügelten Tarnung der Angreifer unbekannt. Einige Quellen gehen von mehreren Tausend Opfern aus, darunter befinden sich kommerzielle, staatliche und diplomatische Organisationen in Russland sowie dessen Vertretungen in Übersee.https://www.connect-professional.de/software-services/kaspersky-mit-details-zur-operation-triangulation.327821.htmlhttps://www.zeit.de/digital/datenschutz/2023-12/kaspersky-spionage-staatliche-hacker-schadsoftware/komplettansicht
Neben den Sicherheitsforschern von Kaspersky und weiteren Mitarbeitern der Firma wurde mutmaßlich ein chinesischer Sicherheitsforscher angegriffen. Außerdem gibt es Hinweise, dass die Malware, die bei dieser Operation verwendet wurde, auch bei Angriffen auf indische Oppositionspolitiker und Personen in 150 weiteren Ländern verwendet wurde.
Entdeckung Zu Beginn des Jahres 2023 erkannten Wissenschaftler der Firma Kaspersky auffällige Datenströme von firmeneigenen iPhones und iPads. Die Schadsoftware wurde für Spionagezwecke entwickelt und ist äußerst unauffällig. Daraufhin wurden die Geräte auf Spuren des Angriffs untersucht. Entdeckt wird sie lediglich, wenn es zu einem ungewöhnlichen Datenaustausch mit infizierten iPhones kommt. Mithilfe der Software mvt-ios konnten Vermittler den Angriffsverlauf rekonstruieren. Die Spuren des Angriffs lassen den Rückschluss zu, dass die ersten Infektionen bereits im Jahr 2019 stattgefunden haben. Bei der Ermittlung musste mit größter Vorsicht vorgegangen werden, damit die Angreifer diese Maßnahmen nicht bemerken. Das bedeutete, dass die betroffenen Geräte zur Untersuchung in den Flugmodus oder zum Teil in faradaysche Käfige gesetzt wurden. Die frühesten Spuren deuten darauf hin, dass die Operation mindestens seit 2019 lief. Kaspersky veröffentlichte am 1. Juni 2023 eine erste Meldung zur Operation Triangulation. Zu diesem Zeitpunkt waren einige Details der verwendeten Malware noch unbekannt, der Angriff lief weiter. Während einer mehrere Monate dauernden Untersuchung wurden nach und nach weitere Details veröffentlicht. Die Wissenschaftler haben zudem beim 37. Chaos Communication Congress ihre Erkenntnisse vorgestellt.
Chronik der Entdeckung 21. Juni 2023: Kaspersky veröffentlicht eine Studie über das bei dem Angriff verwendete Kernmodul TriangleDB.https://thehackernews.com/2023/06/new-report-exposes-operation.htmlhttps://www.derstandard.de/consent/tcf/story/3000000201148/triangulation-jahrelange-iphone-ueberwachung-hebelte-geheime-abwehrfunktion-aus
Am selben Tag veröffentlicht Apple Updates für iOS 15.x und 16.x, die zwei der bei dem Angriff ausgenutzten Sicherheitslücken beheben: CVE-2023-32434 im iOS-Kernel und CVE-2023-32435 in der WebKit-Browser-Engine. Diese Schwachstellen ermöglichten es, iPhones durch Umgehung der iOS-Sicherheitssysteme unbemerkt zu infizieren.https://support.apple.com/en-us/103836https://support.apple.com/en-us/103837
24. Juli 2023: Apple veröffentlicht Updates für iOS 15.x und 16.x, die die Sicherheitslücke CVE-2023-38606 im iOS-Kernel und CVE-2023-41990 im Textverarbeitungssystems FontParser beheben. Auch diese Schwachstellen waren Teil der Infektionskette für Operation Triangulation.https://support.apple.com/en-us/120332https://support.apple.com/en-us/120338
23. Oktober 2023: Kaspersky veröffentlicht Daten über die durch die Angreifer in mehreren Schritten erfolgende Validierung potenzieller Opfer. Dieses Herausfiltern ermöglichte es Angreifern, nur die von ihnen beabsichtigten Ziele zu infizieren und nicht von IT-Sicherheitsbeauftragten entdeckt zu werden.https://securelist.com/triangulation-validators-modules/110847/
26. Oktober 2023: Auf dem Security Analyst Summit wird ein Bericht vorgestellt. Dieser gibt Auskunft über den Untersuchungsprozess der Operation Triangulation sowie die Bemühungen, alle Komponenten der Infektionskette zu identifizieren.https://securelist.com/operation-triangulation-catching-wild-triangle/110916/
27. Dezember 2023: Auf dem Chaos Communication Congress wird ein Bericht über die vollständige Angriffskette und die vier Sicherheitslücken vorgestellt, die bei dem Angriff genutzt wurden, einschließlich undokumentierter Funktionsfeatures von Apple-Prozessoren.https://fahrplan.events.ccc.de/congress/2023/fahrplan/events/11859.htmlhttps://www.macworld.com/article/2191252/operation-triangulation-iphone-attack-ios-16-2-exploits.htmlhttps://www.bleepingcomputer.com/news/security/iphone-triangulation-attack-abused-undocumented-hardware-feature/https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/https://www.kaspersky.de/blog/sas-2023-research/30625/
28. Dezember 2023: Der Hacker Hector Martin erfährt von der Verwendung bislang undokumentierter Funktionen von Apple-Prozessoren in der Operation Triangulation und teilt sein Wissen über deren mögliche Mechanismen und Zwecke.https://social.treehouse.systems/@marcan/111655847458820583https://all4it.ch/2024/01/03/operation-triangulation-vortrag-auf-dem-37%D1%813/https://www.netzwoche.ch/news/2024-01-08/iphone-hack-kaspersky-veroeffentlicht-details-zur-operation-triangulation
Angriff
Betroffene Geräte Operation Triangulation zielte auf iPhones und iPads ab. Zum Zeitpunkt des ersten Berichts von Kaspersky konnte die verwendete Malware iOS bis zur Version 15.7 angreifen. Später fanden die Experten heraus, dass Teile des Programmcodes so zugeschnitten waren, dass selbst Geräte mit iOS-Versionen vor iOS 8 angegriffen werden können, was darauf hinweist, dass die Malware eine sehr lange Zeit in Verwendung war. Außerdem konnten die Sicherheitsforscher zeigen, dass der Angriff darauf ausgelegt war, iOS-Systeme bis iOS 16.2 anzugreifen. Zwei der verwendeten Sicherheitslücken (CVE-2023-32434 und CVE-2023-32435) wurden mit einem Sicherheitsupdate für iOS 15.7.7 geschlossen. Obwohl keine Fälle der Malware auf macOS-Systemen bekannt sind, deuten Hinweise im Quellcode darauf hin, dass eine ähnliche Malware für macOS entwickelt wurde oder Teile der verwendeten Malware auch für macOS verwendet werden können.
Ablauf Zielpersonen erhalten bei der Erstinfektion eine unsichtbare Nachricht auf dem Messengerdienst iMessage mit einer Malware als Anhang. Der bösartige iMessage-Anhang, der als .watchface (ein Uhrendesign – im Grunde eine ZIP-Datei mit eingebetteter PDF-Datei) verpackt ist, führt einen Code aus, der Safari im Hintergrund öffnet; aufgrund einer Sicherheitslücke wird hierfür keine Aktion des Nutzers benötigt. Die auf Safari geöffnete Webseite enthält ein Validierungsskript, das die Parameter des infizierten Smartphones analysiert und entscheidet, ob die Infektion fortgesetzt werden soll.https://www.it-daily.net/it-sicherheit/cybercrime/operation-triangulation-spyware-implantat-kann-dateien-erstellen-aendern-exfiltrieren-und-loeschen Daraufhin lädt der iMessage-Anhang zwei weitere, zu Beginn verschlüsselte, Module der Schadsoftware herunter, die allerlei Tests durchführen und Spuren des Angriffs verwischen sollen. Die heruntergeladenen Komponenten gewähren außerdem noch mehr Zugriffsrechte auf dem Gerät und verbreiten außerdem Spyware mit umfassendem Zugriff auf die Inhalte und Funktionen des Geräts.https://www.swisscybersecurity.net/news/2024-01-08/iphone-hack-kaspersky-veroeffentlicht-details-zur-operation-triangulationhttps://www.connect-professional.de/security/kaspersky-triangledb-loescht-sich-selbst-bei-neustart-des-geraets.326585.htmlhttps://www.heise.de/news/Operation-Triangulation-Raffiniertester-Exploit-aller-Zeiten-auf-iPhones-9583427.html Zudem kommt zur eindeutigen Identifizierung der Opfer ein Canvas-Fingerprinting-Nutzerverfolgungs-Technik zum Einsatz, das ein Dreieck auf der Webseite erscheinen lässt und daraus eine Prüfsumme berechnet. Dieses Dreieck ist der Namensgeber der gesamten Kampagne.https://www.it-daily.net/it-sicherheit/cybercrime/operation-triangulation-spyware-implantat-kann-dateien-erstellen-aendern-exfiltrieren-und-loeschen
In diesen Phasen nutzt der Angriff die Zero-Day-Sicherheitslücken CVE-2023-41990, CVE-2023-32434 und CVE-2023-38606 aus.
Anschließend, nach bestandener Überprüfung also, sendet die Operation Triangulation zahlreiche Informationen über das Gerät sowie die Ergebnisse der Tests zu einem Server, welcher daraus analysieren soll, ob es sich um ein Zielgerät handelt oder ob das Gerät zur Analyse der Malware genutzt wird. Damit wollen die Angreifer erreichen, dass die Malware ihr Ziel erreicht und nicht vor dem Erfolg der Operation neutralisiert wird. Bei diesem Vorgehen nutzt das Skript auf der Website zusätzlich die Sicherheitslücke CVE-2023-32435 aus und lädt einen Binärcode in den Speicher des Geräts, wodurch es Root-Konto-Rechte erlangt und eine detailliertere Prüfung des Smartphones durchführt, die den Interessen der Angreifer entspricht. Um Spuren zu verwischen, werden anschließend mithilfe ebendiesen binären Validators die Textnachricht sowie die Crash-Logs des Betriebssystems gelöscht. Nachdem die Schadsoftware Root-Zugriff über eine Sicherheitslücke im Kernel von iOS erlangt hat, lädt sie weitere Module von einem Server nach, die für eine volle Einsatzfähigkeit benötigt werden. Darunter befindet sich das Kernmodul, das von Kaspersky TriangleDB genannt wurde. Die verwendete Schadsoftware war jedoch nicht in der Lage, sich dauerhaft auf dem Gerät zu speichern. Sie arbeitet ausschließlich im Speicher des Smartphones, sodass der Angriff durch einen Neustart beendet und die Schadsoftware gelöscht werden konnte. Jedoch wurden die attackierten Geräte häufig nach einem Neustart erneut angegriffen.https://netzpalaver.de/2023/06/21/spyware-implantat-kann-dateien-erstellen-aendern-exfiltrieren-und-loeschen/https://tarnkappe.info/artikel/it-sicherheit/malware/operation-triangulation-ios-geraete-im-visier-einer-neu-entdeckten-malware-275842.html Dies war vermutlich eine Sicherheitsmaßnahme, da eine fehlende ausführbare Datei es den Sicherheitsforschern erschwert, die Schadsoftware zu finden. Sollte binnen 30 Tagen kein Neustart erfolgt sein, deinstalliert sich TriangleDB selbstständig, sofern die Angreifer der Malware keinen Befehl geben, um dies zu verhindern.
Undokumentierte Apple-Funktion Kaspersky fiel bei der Analyse auf, dass die Schadsoftware auf undokumentierte Prozessorregister, die in sämtlichen Arm-Chips des Unternehmens zu finden sind, zugreift und diese mit einem ganz spezifischen und geheimen Code angesprochen werden. Die Schadsoftware umgeht auf diese Weise den Speicherschutz in den jüngsten Generationen der Apple-Prozessoren (A12-A16) und macht sich auf diese Weise den Exploit für die Sicherheitslücke des Betriebssystemkerns CVE-2023-38606 zu Nutze.