Predator間諜軟件采用新型攻擊載體實(shí)施零點(diǎn)擊攻擊

安全研究員最新發(fā)現(xiàn)，Predator間諜軟件已啟用一款名為Aladdin的零點(diǎn)擊感染機(jī)制——目標(biāo)對(duì)象無需任何主動(dòng)操作，僅需瀏覽到一則惡意廣告，其設(shè)備便會(huì)遭到入侵。這一功能強(qiáng)大且此前從未被披露的攻擊載體，長(zhǎng)期通過分布在多國(guó)的殼公司進(jìn)行周密隱匿。

泄露的Intellexa營(yíng)銷材料

基于廣告的間諜軟件投放鏈路

Aladdin機(jī)制于2024年首次投入使用，目前被認(rèn)為仍處于運(yùn)行狀態(tài)且在持續(xù)迭代開發(fā)。該機(jī)制借助商用移動(dòng)廣告系統(tǒng)實(shí)現(xiàn)惡意軟件投放，其核心原理為：

根據(jù)目標(biāo)對(duì)象的公網(wǎng)IP地址及其他身份標(biāo)識(shí)鎖定人群，再通過需求方平臺(tái)（DSP）向廣告網(wǎng)絡(luò)內(nèi)的所有合作網(wǎng)站下發(fā)指令，強(qiáng)制向目標(biāo)推送植入惡意程序的廣告。

這類惡意廣告可出現(xiàn)在任何投放廣告的平臺(tái)，比如用戶信任的新聞網(wǎng)站或移動(dòng)應(yīng)用，其外觀與目標(biāo)日常瀏覽的普通廣告無異。而根據(jù)內(nèi)部資料顯示，目標(biāo)僅需查看該廣告即可觸發(fā)設(shè)備感染，完全無需點(diǎn)擊廣告本身。

Aladdin 概述

盡管目前暫無該感染流程的具體技術(shù)細(xì)節(jié)，但谷歌方面指出，這類廣告會(huì)觸發(fā)頁(yè)面跳轉(zhuǎn)，將用戶導(dǎo)向Intellexa的漏洞利用載荷分發(fā)服務(wù)器。

這些惡意廣告的投放鏈路還涉及一套遍布多國(guó)的復(fù)雜廣告公司網(wǎng)絡(luò)，涵蓋愛爾蘭、德國(guó)、瑞士、希臘、塞浦路斯、阿聯(lián)酋、匈牙利等國(guó)家。

針對(duì)這類惡意廣告的防護(hù)難度較大，不過安全專家建議，在瀏覽器中開啟廣告攔截功能可作為基礎(chǔ)防護(hù)手段；此外，將瀏覽器設(shè)置為向追蹤器隱藏公網(wǎng)IP，也能降低被精準(zhǔn)定向的風(fēng)險(xiǎn)。但泄密文件顯示，Intellexa仍可從客戶所在國(guó)的本土移動(dòng)運(yùn)營(yíng)商處獲取相關(guān)身份信息。

三星Exynos芯片漏洞與零日漏洞利用

泄密文件的另一項(xiàng)關(guān)鍵發(fā)現(xiàn)，是證實(shí)了另一款名為Triton的投放載體的存在。該載體可針對(duì)搭載三星Exynos芯片的設(shè)備，通過基帶漏洞發(fā)起攻擊，先強(qiáng)制設(shè)備網(wǎng)絡(luò)降級(jí)至2G模式，為后續(xù)感染創(chuàng)造條件。

分析師暫無法確認(rèn)該投放載體是否仍在使用，同時(shí)指出另有兩款疑似功能類似的攻擊機(jī)制，代號(hào)分別為Thor與Oberon，推測(cè)其可能涉及無線電通信攻擊或物理接觸式攻擊。

谷歌研究人員稱，從零日漏洞利用規(guī)模來看，Intellexa已躋身全球最活躍的商用間諜軟件廠商之列——自2021年以來，谷歌威脅分析小組（TAG）共發(fā)現(xiàn)并記錄70起零日漏洞利用事件，其中15起均由該公司主導(dǎo)。

谷歌表示，Intellexa既會(huì)自主研發(fā)漏洞利用工具，也會(huì)從外部機(jī)構(gòu)采購(gòu)漏洞利用鏈，以實(shí)現(xiàn)對(duì)各類目標(biāo)的全面覆蓋。

盡管Intellexa在希臘已面臨制裁及持續(xù)調(diào)查，但其間諜軟件業(yè)務(wù)依舊保持高度活躍。隨著Predator間諜軟件的隱蔽性與溯源難度不斷提升，安全機(jī)構(gòu)建議用戶為移動(dòng)設(shè)備開啟額外防護(hù)，例如安卓設(shè)備的高級(jí)保護(hù)模式、iOS設(shè)備的鎖定模式。

參考及來源：https://www.bleepingcomputer.com/news/security/predator-spyware-uses-new-infection-vector-for-zero-click-attacks/