Skip to content

Predator iOS kernel exploitation engine (PAC bypass)

Cytrox/Intellexa'nın PREDATOR paralı casus yazılımının kullandığı iOS exploitation engine'inin savunma/kavramsal düzeyde özeti; public raporlamadan yeniden kurgulandı: bir Safari RCE'nin signature-validation (PAC) bypass'ına ve bir kernel privilege-escalation bug'ına zincirlenmesi, artı recording indicator'larını atlatmak için post-exploitation PAC-redirection numarası.

Mechanism

Note

Apple silicon'da Pointer Authentication (PAC) korunan pointer'ları (return address'ler, belirli function/data pointer'lar) context'e özgü bir key'le imzalar; sahte ya da imzasız bir pointer authentication'dan geçemez ve fault verir. PREDATOR'un initial chain'i bu yüzden önce code execution elde etmeli, ardından bir kernel bug'ına pivot edebilmek için signature/PAC validation'ı atlatmalıdır — PAC'i kriptografik olarak "kırmaz". iOS ≤ 16.6.1'e teslim edilen iOS chain'ine dair public raporlama (Citizen Lab + Google TAG, Eylül 2023) sırayla çalışan üç zero-day'e işaret ediyor:

  • CVE-2023-41993 — WebKit: kötü niyetli web içeriğinin işlenmesi arbitrary code execution doğurur (Safari'de initial RCE).
  • CVE-2023-41991 — Security framework: kötü niyetli bir app signature validation'ı bypass edebilir (PAC/signature-validation bypass aşaması).
  • CVE-2023-41992 — Kernel: yerel bir saldırgan privilege yükseltebilir.

Ayrı bir Jamf analizi, implant'ın CameraEnabler modülü içindeki bir post-exploitation PAC tekniğini anlatıyor: implant, bir signature forge etmek yerine meşru control flow'dan cache'lenmiş pre-signed return address'leri ("PAC cache") yeniden kullanıp execution'ı onlara yönlendiriyor — zaten authenticate edilmiş pointer'ların içinde kalan bir signing-oracle/gadget-reuse deseni. Bu, bu kayıt ile pac-signing-gadget-bypass / pac-signing-oracle-reuse arasındaki kavramsal köprüdür: geçerli signed pointer'lar üretilmiyor, replay ediliyor.

Warning

Bu kayıt bilinçli olarak kavramsal ve savunma odaklıdır. Public raporlamadan bug class'larını ve PAC-handling stratejisini özetler; çalışan herhangi bir exploit chain, gadget adresi ya da kernel R/W primitive'i sağlamaz, yeniden kurgulamaz veya sentezlemez.

Walkthrough

Raporlandığı haliyle kavramsal aşama akışı (offset yok, chain yok). Teslimat, hedefin ülkesi içindeki bir cihazdan yapılan network injection yoluyla gerçekleşti ve şifrelenmemiş gezinmeyi neredeyse zero-click bir tetikleyiciye çevirdi.

[ network injection ] --> redirect victim Safari to attacker page
        |
        v
CVE-2023-41993 (WebKit RCE)      --> code execution in the Safari/WebContent sandbox
        |
        v
CVE-2023-41991 (Security fwk)    --> bypass signature validation (PAC/sig stage)
        |
        v
CVE-2023-41992 (Kernel LPE)      --> elevate privileges out of the sandbox
        |
        v
[ PREDATOR implant installed ]   --> persistence + collection

Post-exploitation indicator-evasion (Jamf), yalnızca API düzeyinde tarif ediliyor:

CameraEnabler::findFunctionAddress()
    - locates an internal target by ARM64 prologue pattern matching (memmem over code)
      near FigVideoCaptureSourceCreateWithSourceInfo, instead of resolving an export.
    - installs a hook that, on the relevant thread state, returns to a
      pre-signed address from its PAC cache (no new signature minted).

SpringBoard hook:
    - SBSensorActivityDataProvider _handleNewDomainData:
    - nils the receiver (self = NULL) so the Objective-C message is silently dropped;
      camera AND microphone privacy indicators are both suppressed by the one hook.
Raporlanan indicator'lar / kapsam (public raporlamadan) 
Attribution : Cytrox / Intellexa "PREDATOR" (loader component: ALIEN)
iOS chain   : CVE-2023-41993 (WebKit) + CVE-2023-41991 (Security/sig) + CVE-2023-41992 (Kernel)
Affected    : iOS up to 16.6.1; patched by Apple 2023-09-21
Delivery    : network injection (MITM on unencrypted HTTP) -> Safari
Targeting   : journalists, politicians (Citizen Lab / Google TAG casework)

Detection

  • Güncel iOS bu spesifik chain'i ortadan kaldırır; Lockdown Mode bu tür uzaktan browser ile teslim edilen attack surface'i belirgin biçimde azaltır.
  • Network-injection teslimatı şifrelenmemiş HTTP yönlendirmesi gerektirir — HTTPS-everywhere / encrypted DNS injection dayanağını daraltır.
  • Implant'tan kalan forensic izler (mediaserverd/SpringBoard içindeki anormal hook'lar, bastırılmış sensor indicator'ları) atıf yapılan araştırmacılarca belgelenen post-compromise sinyalleridir.

Mitigation

  • Apple güvenlik güncellemelerini hızla uygulayın; üç CVE de yamalı.
  • Lockdown Mode uzaktan erişilebilen attack surface'in çoğunu devre dışı bırakır (karmaşık web içeriği, belirli mesaj ekleri).
  • Pointer Authentication, App Sandbox ve code-signing, bu chain'lerin özellikle atlatmak için tasarlandığı platform savunmaları olarak kalır — pratik karşı önlem, defense-in-depth ve hızlı yamalamadır.

Ayrıca bakınız: pac, pac-signing-gadget-bypass, pac-signing-oracle-reuse, pacman.

References