Triangulation Mobile Malware
Triangulation ist eine hochentwickelte Malware, die speziell für iOS-Geräte entwickelt wurde. Es fungiert als Hintertür und schafft einen geheimen Einstiegspunkt für weitere bedrohliche Aktivitäten. Durch die Ausnutzung von Zero-Click-Exploits kann Triangulation Geräte infiltrieren, ohne dass eine Benutzerinteraktion erforderlich ist, was die Erkennung noch schädlicher und schwieriger macht.
Sobald es sich in einem Gerät befindet, sammelt Triangulation grundlegende Geräte- und Benutzerdaten und ermöglicht es den Angreifern, an wertvolle Informationen zu gelangen. Darüber hinaus besteht die Möglichkeit, zusätzliche Schadkomponenten herunterzuladen und zu installieren, darunter ein Backdoor-Implantat namens TriangleDB. Dieses Implantat dient als dauerhaftes Werkzeug, das es den Angreifern ermöglicht, den Zugriff auf das kompromittierte Gerät aufrechtzuerhalten und weitere schädliche Aktionen auszuführen. Auch wenn es der Bedrohung möglicherweise an herkömmlichen Mechanismen zur Sicherstellung der Persistenz mangelt, gleicht sie diese Tatsache aus, indem sie fortschrittliche Infiltrationsmethoden einsetzt und alle Spuren ihrer Präsenz entfernt, was ihre Erkennung und Beseitigung erschwert.
Triangulation ist seit mindestens 2019 eine anhaltende Bedrohung und stellt seit Juni 2023 weiterhin ein erhebliches Risiko dar. Es ist erwähnenswert, dass die von Informationssicherheitsexperten analysierte Version die Fähigkeit gezeigt hat, Geräte mit iOS 15.7 effektiv anzugreifen, was auf ihre Anpassungsfähigkeit an die neueren iOS-Versionen hindeutet.
Triangulation Angriffe beginnen mit Phishing-Nachrichten mit kompromittierten Anhängen
Es wird angenommen, dass Triangulation Infektionen automatisch durch eine über iMessage gesendete Nachricht mit einem unsicheren Anhang ausgelöst werden. Der Anhang selbst missbraucht einen Exploit, der eine Kernel-Schwachstelle im iOS-System ausnutzt. Diese Schwachstelle ermöglicht die Ausführung von Schadcode, der die erste Stufe des Triangulationsangriffs einleitet. Mit fortschreitender Infektion werden mehrere Komponenten von einem Command-and-Control-Server (C2) heruntergeladen. Diese Komponenten dienen dazu, die Fähigkeiten der Malware zu steigern und zu versuchen, Root-Rechte auf dem kompromittierten Gerät zu erlangen.
Zusätzlich zu seinen Hauptfunktionen führt Triangulation auch das TriangleDB-Implantat in das gefährdete Gerät ein. Während Triangulation selbst in der Lage ist, grundlegende Systeminformationen zu sammeln, verlässt sich die Kampagne stark auf TriangleDB, um auf hochsensible Daten zuzugreifen. Dazu gehört das Abrufen von Informationen aus verschiedenen Anwendungen, Benutzerdateien, Anmeldeinformationen und anderen kritischen Daten, die auf dem Gerät gespeichert sind.
Die Kombination aus dem ersten Exploit, dem anschließenden Download von Komponenten vom C&C-Server und dem Einsatz der TriangleDB-Spyware zeigt die komplexe und vielschichtige Natur der Triangulation-Angriffsoperation.
Die bedrohlichen Fähigkeiten, die in der Triangulation Mobile Malware entdeckt wurden
Ein wesentlicher Teil der Arbeit von Triangulation besteht darin, alle Spuren seiner Anwesenheit zu beseitigen und die Beweise für die Erstinfektion zu beseitigen. Dazu gehört auch die Löschung der Schadnachrichten, die die Angriffskette auslösen. Durch die Löschung dieser Elemente zielt Triangulation darauf ab, den Erkennungs- und Analyseprozess zu erschweren und die Aufdeckung ihrer Aktivitäten zu erschweren. Es ist jedoch wichtig zu beachten, dass Triangulation trotz aller Bemühungen nicht alle Anzeichen von Kompromissen vollständig beseitigen kann. Bestimmte Überreste einer Triangulationsinfektion können mit digitalen Forensik-Tools immer noch wiederhergestellt werden.
Ein bemerkenswerter Aspekt der Triangulation ist das Fehlen von Persistenzmechanismen. Wenn das infizierte Gerät neu gestartet wird, wird die Malware effektiv vom System entfernt. Die einzige von Triangulation eingesetzte Methode, um eine vorzeitige Entfernung zu verhindern, besteht darin, iOS-Updates zu blockieren. In einigen Fällen wird beim Versuch, das iOS zu aktualisieren, die Fehlermeldung „Software-Aktualisierung fehlgeschlagen“ angezeigt. Beim Herunterladen von iOS ist ein Fehler aufgetreten.'
Es ist jedoch wichtig zu verstehen, dass ein einfacher Neustart Triangulation zwar entfernen kann, die Möglichkeit einer späteren Infektion durch die Bedrohung jedoch nicht verhindert. Durch die Ausnutzung eines Zero-Click-Exploits könnte sich die Schadsoftware leicht erneut auf das Gerät des Opfers einschleichen. Daher ist es nach dem Neustart eines iPhones erforderlich, das Gerät auf die Werkseinstellungen zurückzusetzen. Nach dem Zurücksetzen ist es unbedingt erforderlich, das iOS umgehend zu aktualisieren, um sicherzustellen, dass das Gerät vor Triangulation und den damit verbundenen Bedrohungen geschützt ist.
