El troyano Triangulation aprovechó una vulnerabilidad no documentada en los chips de dispositivos iOS

Esta campaña de distribución de 'software' malicioso, calificado como «extremadamente sofisticado», fue detectada por la plataforma Kaspersky Unified Monitoring and Analysis Platform (KUMA). Estos investigadores hallaron a principios del año pasado varias docenas de iPhones e iPads de empleados senior infectados por este troyano.

Apple lanzó una serie de actualizaciones para iOS e iPadOS en junio para acabar con este troyano, distribuido a través de iMessage y capaz de transmitir silenciosamente información privada a servidores en remoto, como fotografías o datos de geolocalización.

Dicha compañía de ciberseguridad adelantó a finales de octubre, por otra parte, que Operation Triangulation había aprovechado cinco vulnerabilidades de Apple, cuatro de ellas identificadas como 'zero day', para infectar los equipos y robar datos de los usuarios.

Ahora, los analistas de Kaspersky han indicado que los ataques de Operation Triangulation también se aprovecharon de fallas no documentadas en los chips de la marca para eludir las protecciones de seguridad basadas en 'hardware'.

Para llegar a esta conclusión, la firma de ciberseguridad ha aplicado ingeniería inversa a la cadena de ataques que tuvo lugar el año pasado, a fin de descubrir todos los detalles de su 'modus operandi'.

Más concretamente, los analistas han investigado la brecha CVE-2003-38606, solucionada en julio de este año con el lanzamiento de iOS/iPadOS 16.6 para determinar su capacidad de explotación, tal y como ha explicado en su blog SecureList.

En primer lugar, han recordado que los modelos recientes de iPhone cuentan con una protección de seguridad adicional basada en 'hardware' para regiones sensibles de la memoria del núcleo o kernel.

Para eludirla, los atacantes emplearon otra característica de los SoC diseñados por Apple, gracias a la cual fueron capaces de "escribir datos en una determinada dirección física, mientras evitan la protección de la memoria basada en 'hardware' al escribir los datos, la dirección de destino y el 'hash' de datos en registros de 'hardware' desconocidos del chip y que no utiliza el 'firmware'".

Desde Kaspersky han señalado que creen que esta caraterística estaba destinada a utilizarse con fines de pruebas por parte de los ingenieros y desarrolladores de Apple y que se habría incluido por error en el SoC de los dispositivos.

No obstante, han reconocido no saber cómo los atacantes lograron aprovecharse de esta vulnerabilidad a nivel de 'hardware' y que han publicado los detalles técnicos de su investigación para que otros analistas de iOS puedan confirmar sus hallazgos.