Se han descubierto nuevos detalles sobre una campaña de espionaje denominada Operation Triangulation, que ha estado activa desde 2019 y cuyo actor detrás sigue siendo desconocido. Esta operación se lleva a cabo mediante un implante de software espía, conocido como TriangleDB, que se entrega a dispositivos iOS.
Características del malware
Kaspersky, empresa rusa de ciberseguridad, descubrió la operación tras convertirse en uno de sus objetivos. El malware tiene una vida útil de 30 días y se desinstala automáticamente si no se extiende el período. La compañía alertó sobre la presencia del implante TriangleDB, que opera únicamente en la memoria, sin dejar rastros tras el reinicio del dispositivo.
El ataque se lleva a cabo mediante un mensaje iMessage invisible con un archivo adjunto malicioso. Este archivo explota una serie de vulnerabilidades en iOS para instalar software espía y controlar completamente el dispositivo, sin requerir ninguna acción por parte del usuario.
Funcionalidad del implante
TriangleDB, escrito en Objective-C, establece conexiones cifradas con un servidor de comando y control (C2) para enviar periódicamente una baliza de latido que contiene metadatos del dispositivo. El servidor responde a estos mensajes con comandos que permiten volcar datos del llavero de iCloud, cargar módulos Mach-O adicionales en la memoria y recopilar información confidencial.
La operación incluye capacidades para interactuar con el sistema de archivos del dispositivo, administrar procesos, extraer elementos del llavero y monitorear la geolocalización. La cadena de ataque culmina con el borrado del mensaje inicial para tapar las huellas.
Detalles técnicos
El código fuente revela que los autores del malware utilizan términos propios como «unmunging» para referirse al descifrado de cadenas, y asignan nombres basados en terminología de bases de datos: archivos (record), procesos (schema), servidor C2 (DB Server) y geolocalización (DB Status). La rutina «populateWithFieldsMacOSOnly» sugiere la posibilidad de que TriangleDB también pueda usarse como arma para apuntar a dispositivos macOS.
El implante solicita múltiples derechos del sistema operativo, algunos de los cuales no se utilizan en el código, como el acceso a la cámara, el micrófono y la libreta de direcciones. Estos permisos pueden ser implementados en módulos adicionales.
Reacciones oficiales
Apple lanzó una serie de actualizaciones para iOS, iPadOS, macOS, watchOS y Safari para abordar un conjunto de fallas que se están explotando activamente. Entre ellas se incluyen dos ceros-día (CVE-2023-32434 y CVE-2023-32435) relacionados con la campaña Operation Triangulation.
El fabricante de iPhone reconoció que los problemas pueden haber sido explotados activamente contra versiones de iOS lanzadas antes de iOS 15.7 y agradeció a los investigadores de Kaspersky por informar sobre la amenaza.
Contexto internacional
El gobierno ruso ha señalado a Estados Unidos, acusándolo de haber entrado en «varios miles» de dispositivos Apple pertenecientes a suscriptores nacionales y diplomáticos extranjeros como parte de lo que afirmó ser una operación de reconocimiento.
Apple también parcheó un tercer cero-día, identificado como CVE-2023-32439, que se informó de forma anónima y podría provocar la ejecución de código arbitrario al procesar contenido web malicioso. Las actualizaciones están disponibles para varias plataformas incluyendo iOS 16.5.1, iPadOS 15.7.7, macOS Ventura 13.4.1, watchOS 9.5.2 y Safari 16.5.1.
Con la última ronda de correcciones, Apple ha resuelto un total de nueve fallas de día cero en sus productos desde principios de año.