محققان شرکت مدیریت دستگاه‌های موبایل Jamf فاش کردند که جاسوس‌افزار (spyware) پردیتور (Predator) ساخته شرکت تحریم‌شده Intellexa، قادر است نشانگرهای ضبط صدا و تصویر در سیستم‌عامل iOS را پنهان کند و در عین حال به‌طور مخفیانه تصویر دوربین و صدای میکروفون دستگاه قربانی را برای اپراتورهای خود ارسال نماید. این بدافزار از هیچ آسیب‌پذیری جدیدی در iOS بهره نمی‌برد، بلکه با استفاده از دسترسی از پیش کسب‌شده در سطح هسته (kernel-level access)، نشانگرهای سبز و نارنجی رنگی را که اپل از iOS 14 برای هشدار به کاربران هنگام فعال‌بودن دوربین یا میکروفون معرفی کرده، غیرفعال می‌کند.
بر اساس تحلیل Jamf، پردیتور با استفاده از یک تابع هوک (hook function) به نام `HiddenDot::setupHook()` در فرآیند SpringBoard، متد `_handleNewDomainData:` را که iOS هنگام هرگونه تغییر در وضعیت حسگرها فراخوانی می‌کند، رهگیری کرده و از رسیدن اطلاعات به لایه رابط کاربری (UI layer) جلوگیری می‌کند؛ در نتیجه هیچ نشانگری برای کاربر نمایش داده نمی‌شود. همچنین دسترسی به دوربین از طریق ماژول جداگانه‌ای با استفاده از تطبیق الگوی دستورالعمل ARM64 و تغییر مسیر کد احراز اشاره‌گر (Pointer Authentication Code) برای دور زدن بررسی‌های مجوز دوربین انجام می‌شود. اپل تاکنون در پاسخ به درخواست اظهارنظر درباره این یافته‌ها واکنشی نشان نداده است.
کلمات کلیدی : جاسوس‌افزار پردیتور, بدافزار iOS, Intellexa, پنهان‌کردن نشانگر دوربین و میکروفون, دسترسی سطح هسته iOS, Jamf
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.