Как проверить iPhone на вирус «Операция Триангуляция»

Ранее Лаборатория Касперского сообщила о новом вирусе, которым может быть заражен ваш iPhone.

По словам специалистов, перед взломом устройство получается сообщение iMessage со специальным вложением, содержащим эксплойт. Он вызывает выполнение вредоносного кода, даже если пользователь никак не взаимодействовал с вложением.

Этот код загружает другие элементы вируса Triangulation, включая дополнительные эксплойты для повышения привилегий. После этого устанавливаются все необходимые компоненты для взлома, а первоначальное сообщение с эксплойтом удаляются.

Вирус работает только в оперативной памяти и не устанавливается на iOS из-за ограничений системы. Он собирает пользовательские данные и передает их на сервера злоумышленников.

Подготовка к работе

Сегодня Лаборатория Касперского выпустила инструкцию, которая позволяет проверить свой iPhone на наличие вируса Triangulation.

Определить наличие вируса можно только в резервной копии iPhone. Её можно создать через Finder, iTunes или idevicebackup2. Лучше сразу создавать не зашифрованную резервную копию, чтобы потом не тратить время на расшифровку бекапа.

Для дальнейшей работы необходимо установить Python 3 и утилиту Mobile Verification Toolkit (MVT).

• На Mac MVT устанавливается через Терминал и команду pip3 install mvt
• На Windows MVT устанавливается через Командную строку и команду pip3 install mvt

После установки MVT необходимо обработать через нее резервную копию iOS. Для этого нужно прописать команду:

mvt-ios check-backup -o $mvt_output_directory $decrypted_backup_directory

В папке mvt_output_directory появится несколько файлов формата JSON и CSV. Нас интересует timeline.csv.

Как обнаружить вирус Triangulation

• Откройте файл timeline.csv в TextEdit или Блокноте
• С помощью поиска по документу (CMD ⌘ + F) найдите упоминание процесса BackupAgent
• Чаще всего, упоминание BackupAgent предваряется строками с упоминанием процесса IMTransferAgent, который отвечает за скачивание вложений (в данном случае, с эксплойтом)

2022-09-13 10:04:11.890351Z Datausage IMTransferAgent/com.apple.datausage.messages (Bundle ID: com.apple.datausage.messages, ID: 127) WIFI IN: 0.0, WIFI OUT: 0.0 - WWAN IN: 76281896.0, WWAN OUT: 100956502.0
2022-09-13 10:04:54.000000Z Manifest Library/SMS/Attachments/65/05 - MediaDomain
2022-09-13 10:05:14.744570Z Datausage BackupAgent (Bundle ID: , ID: 710) WIFI IN: 0.0, WIFI OUT: 0.0 - WWAN IN: 734459.0, WWAN OUT: 287912.0

• Также рядом с этими данными будет информация об изменениях директории Library/SMS/Attachments

Если вы обнаружили похожие данные, то ваш iPhone может быть взломан. В таком случае об этом лучше сообщить в Лабораторию Касперского по адресу triangulation@kaspersky.com, которая занимается изучением этого вируса.