Wyłączenie telefonu wcale nie musi oznaczać usunięcie Pegasusa czy innego malware. Zobaczcie na ten sprytny trick

Zacznijmy trochę nietypowo, bo od prezentacji nagrania dostępnego w ramach badania opublikowanego przez ZecOps (całość prezentowana jest na przykładzie iPhone).

Po lewej widok z kamery zainfekowanego telefonu, sam zainfekowany telefon po prawej stronie (wysyła on obraz z kamery / mikrofonu do atakującego, nota bene – ofiara nie ma żadnego wizualnego efektu np. świecącej się diody – ostrzegającej, że kamera/mikrofon nagrywa).

W pewnym momencie ofiara wyłącza telefon:

Okej, telefon się wyłącza, ale atakujący cały czas widzi obraz z kamery! Jak to możliwe? Okazuje że istnieje możliwość zasymulowania wyłączenia telefonu (czyli prezentacja czarnego ekranu i wyłączenie wszystkich funkcji, bez powiedzmy kamery/mikrofonu/dostępu do Internetu). Badacze opisują to w ten sposób: Meet “NoReboot”: The Ultimate Persistence Bug.

W skrócie (techniczne objaśnienia tutaj), mając odpowiednie uprawnienia (a takowe malware często posiada). można wstrzyknąć swój kod w procesy odpowiedzialne za wyłączanie telefonu:

Mamy zatem czarny ekran, wyłączone reagowanie telefonu na fizyczny kontakt użytkownika, a telefon cały czas działa (i może być kontrolowany przez atakującego):

Despite that we disabled all physical feedback, the phone still remains fully functional and is capable of maintaining an active internet connection. The malicious actor could remotely manipulate the phone in a blatant way without worrying about being caught because the user is tricked into thinking that the phone is off, either being turned off by the victim or by malicious actors using “low battery” as an excuse. 

No dobrze, ale co w przypadku kiedy użytkownik chce teraz włączyć „wyłączony” wcześniej telefon? Tutaj też odpowiednie wstrzyknięcie kodu może zasymulować bootowanie urządzenia…(w tym np. wyświetlenie loga Apple).

Co robić? Metodą na pozbycie się malware może być tzw. twardy restart telefonu, tego nie da się prawdopodobnie przechwycić, chociaż badacze mają pewien pomysł i na ten mechanizm – w trakcie procedury twardego restartu można wcześniej wyświetlić logo Apple, co może spowodować, że użytkownik pomyśli, że już doszło do twardego restartu…

Nie ma potwierdzenia, że technika stosowana jest Pegasusie czy w innym, podobnym spyware.

~Michał Sajdak