برمجية بيغاسوس Pegasus spyware، إنها واحدة من أكثر الثغرات تعقيدًا من الناحية الفنية التي رأيناها على الإطلاق. إنها مرعبة ولا تصدق، من حوالي أسبوع نشر فريق جوجل Project Zero تقرير على مدونتهم بيتكلم عن ثغرة استغلتها شركة NSO Group لاختراق أجهزة الآيفون بدون حاجة إلى أي تفاعل من الضحية.
الثغرة دي وصفها التقرير بإنها مرعبة للغاية ولا تصدق "Incredible and Pretty Terrifying"، ده وصف صادر عن فريق بحجم فريق Project Zero اللي موجود فيه مجموعة من أعظم العقول في مجال الأمن المعلوماتي.
الثغرة دي كان بيتم استغلالها لاختراق الأجهزة والتجسس عليها عبر برمجية بيجاسوس، ونجح فريق جوجل إنه يحصل على عينة من برمجية التجسس من خلال التعاون مع فريق Citizen Lab اللي حصل عليها بشكل حصري بعد ما تم اكتشاف استخدامها للتجسس على موبايل ناشط سعودي.
ثغرة Zero-Click في تطبيق iMessage
في البداية الثغرة دي كانت موجودة في تطبيق iMessage، وده تطبيق المراسلة الافتراضي على الآيفون، وتم إصلاحها في التحديث رقم 14.8 من نظام التشغيل iOS.
ثغرة Zero-Click في تطبيق iMessage استخدمت لاختراق هواتف 36 شخص في AlJazeera
باستخدام برنامج NSO. ونعتقد (بدرجة متوسطة) ان الامارات العربية المتحدة والمملكة العربية السعودية وراءها.
في البداية الثغرة كانت مش بتحتاج أي تفاعل من الطرف الأول، والنوع ده من الثغرات بيطلق عليها Zero-Click يعني ثغرات مش بتحتاج إن الضحية يضغط على رابط مثلا عشان يتم اختراقه، لا انت مش بتعمل حاجة خالص، كل اللي الطرف التاني بيحتاجه لاختراقك هو معرفة رقم موبايلك أو اسم مستخدم آبل AppleID.
بعد معرفة المعلومة دي كانت عملية اختراق الضحية بتحصل من خلال إرسال رسالة لجهازه، بغض النظر عن تفاعله مع الرسالة من عدمه، بمجرد استلام الرسالة بتحصل عملية الاختراق، اللي هو مفيش أي وسيلة تقدر تحميك.
استغلال الثغرة تقني بحت وخد مني وقت على ما فهمته وصعب شرحه لشخص مفيش عنده معرفة بالبرمجة، لكن هحاول أبسطه.
شركة آبل كانت عملت بدعة كدة في الموبايل إن الصور المتحركة اللي هي الـGIF لما صممت نظام معالجتها على الموبايل قررت إنها تخلي الصورة تدخل في Infinite Loop عشان تخلي الصورة تفضل متحركة بدون توقف، يعني لما الصورة تشتغل وتخلص تشتغل من الأول تاني وهكذا،
المشكلة الأولى إن عملية المعالجة دي كانت بتحصل خارج الساند بوكس، ودي تقنية بتستخدم لعزل التطبيقات ونشاطها على الموبايل عن بعض، بحيث إن لو تطبيق اتعرض للاختراق مثلا مش هتتأثر باقي التطبيقات وأجزاء الموبايل.
بكدة بقى عندنا صورة GIF جاية من مصدر مجهول، ونظام التشغيل قرر يعدل عليها عشان يشغلها بشكل لا نهائي. اللي هيبدأ الشغل على الصورة مكتبة برمجية اسمها ImageIO والمكتبة دي تحديدا بتتجاهل صيغة الصورة وبتقدر تحدد نوع الملف الأصلي، يعني أيوة احنا بعتنا ملف امتداده GIF عشان نضحك على نظام التشغيل، لكنه لما يبعت الملف ده لمكتبة ImageIO هتكتشف إن الملف ده مش صورة ولكن PDF، ودي كانت الخدعة الأولى.
ملفات الـPDF من الملفات اللي بتستخدم في عمليات الاختراق المتطورة لأسباب منها دعمه لأكواد الجافاسكريبت اللي بيتم الاعتماد عليها في الاختراقات خصوصا تطبيقات الويب.
معظم الناس عارفة إنها ممكن يتم اختراقها من خلال برنامج بتثبته على الكمبيوتر مثلا أو تطبيق على الموبايل، لكن كام واحد يعرف إن ممكن يتم اختراقه من PDF؟
هنا عملية معالجة الـPDF بتحصل عن طريق فريم ورك اسمه CoreGraphics، وبالرغم من إن الفريم ورك ده كان مش بيدعم جافاسكريبت ولا بيفسرها، لكن من خلال استغلال ثغرة في تقنية ضغط قديمة من سنة 1990م معروفة باسم JBIG2 كانت بتستخدم لضغط الصور الأبيض والأسود قدر المطورين إنهم يتغلبوا على النقطة دي.
تقنية JBIG2 كان مفيش عندها قدرة على تفسير البرمجة النصية زي جافاسكريبت، لكن كان عندها القدرة على محاكاة عمل الدوائر المنطقية Logic Gates، عارفين إيه هي الدوائر المنطقية دي؟ دي اللي هي الكمبيوتر!
اللي طوروا الثغرة نجحوا في بناء حاجة أشبه بكمبيوتر بعد ما هربوا كل الأدوات اللي احتاجوها داخل ملف الـPDF، ودلوقتي بقى عندنا كمبيوتر له ذاكرة عشوائية نقدر نستخدمه في القيام بعمليات حسابية ومخاطبة الذاكرة كإننا نجحنا في تشغيل (تفسير) جافا سكريبت داخل تقنية JBIG2!
من خلال الحيل دي وحيل أخرى صعب أكتب عنها عشان تفاصيلها التقنية وعشان طول البوست كان بيقدر الإصدار ده من برمجية بيجاسوس يخترق الآيفون بدون تفاعل صاحبه وبدون معرفته أصلا، وكانت البرمجية بتقدر تتجسس على الموبايل وتجمع بيانات منه وتبعتها لمصدر الاختراق.
بواسطة: نتاوي "محمود الغضبان"
