Мы помогли Apple устранить уязвимость в ядре ее операционных систем

Эксперт PT ESC Михаил Ложников обнаружил недостаток, который мог вызвать внезапное завершение работы системы (сбой ядра) или повреждение памяти ядра (kernel memory corruption) в продукции компании Apple.

⚠️ Уязвимость PT-2026-76847 (CVE-2026-65330) получила средний уровень критичности — 6.5 по шкале CVSS 3.x.

Делимся подробностями

• Ошибка была обнаружена в BSD-подсистеме сетевого стека XNU (ядра macOS, iOS) в компоненте NECP (Network Extension Control Policy), который управляет правами доступа программ и приложений к сетевым интерфейсам.

• Для взаимодействия с NECP требуется процесс с привилегированными правами, подписанный цифровой подписью (platform-signed).

• При закрытии NECP-сессии ядро корректно освобождает domain-фильтры, но domain-trie (префиксное дерево доменов) остается в глобальном списке с указателем на уже освобожденную память сессии.

• При удалении trie по идентификатору (ID) ядро не проверяет владельца.

• Любая другая сессия может удалить чужое префиксное дерево, вследствие чего может произойти ошибка и ядро вызовет панику.

🍏 Скорее обновляйте ваши устройства

Apple уже выпустила исправление безопасности в iOS/iPadOS 26.6.1, macOS 26.6.2, tvOS 27, watchOS 27 и visionOS 27.

Подробная информация об исправлениях опубликована на официальных страницах Apple: macOS, iOS и iPadOS, tvOS, watchOS и visionOS.

#cve #ir #ios #macos
@ptescalator

ALERT: Apple detected a targeted mercenary spyware attack against your iPhone

Apple detected that you are being targeted by a mercenary spyware attack that is trying to remotely compromise the iPhone associated with your Apple Account (ВАШ АККАУНТ). This attack is likely targeting you specifically because of who you are or what you do. Although it's never possible to achieve absolute certainty when detecting such attacks, Apple has high confidence in this warning – please take it seriously.

с большой вероятностью вы подверглись атаке шпионского ПО.

Кроме того, Apple отправляет письмо на вашу электронную почту с адреса threat-notifications@email.apple.com, а при открытии сайта account.apple.com отображается информация о компрометации устройства.

Компрометация приводит к получению полного контроля над устройством жертвы, включая доступ к звонкам, сообщениям, данным приложений, а также возможности осуществления скрытой записи аудио и видео.

🔍 Мы можем помочь в исследовании вашего устройства. Для этого достаточно написать в личные сообщения канала ESCalator.

Для сохранности нужных для исследования артефактов стоит исключить действия, которые могут повлиять на состояние системы.

❌ Не следует перезагружать устройство, устанавливать обновления, сбрасывать настройки или активировать дополнительные режимы защиты.

⚠️ Отдельно обращаем внимание, что включение режима Lockdown Mode также приводит к перезапуску устройства.

Это важно, поскольку современные вредоносные инструменты, применяемые для атак на мобильные устройства, часто работают исключительно в оперативной памяти и способны удалять следы своего присутствия. Перезагрузка или обновление ОС могут привести к утрате forensic-артефактов, необходимых для последующего анализа.

👀 Полный алгоритм действий, что предпринимать в случае получения таких уведомлений, а также, что делать, если нет возможности оперативно связаться с экспертами, можно почитать на SecurityLab.

#ios #dfir #mobile #ios_alert #spyware
@ptescalator (X, Max)

При покупке донорских устройств на площадках по продаже личных вещей прослеживается негативная тенденция: многие люди редко беспокоятся о безопасности своих данных. Особенно это касается продажи неисправных устройств и старых телефонов, которыми уже не пользуются.

Из наиболее частых причин продажи указывают:

➖ повреждение порта зарядки и передачи данных;
➖ повреждение экрана и матрицы устройства;
➖ полная разрядка или неисправность аккумуляторной батареи;
➖ проблемы с загрузкой операционной системы устройства.

При определенных навыках ремонта злоумышленник может без проблем восстановить доступ ко всей информации на устройстве.

Наличие парольной защиты также не является панацеей: с помощью различных уязвимостей мобильных устройств и определенных инструментов можно извлечь данные с обходом блокировки. О том, как это могут сделать на устройствах iOS, ранее писали тут.

В разговоре многие продавцы сами сообщают не только пароли для доступа к телефону, но и к учетной записи, привязанной к устройству. Такая доброта зачастую оказывается на руку злоумышленнику: получив пароль от учетной записи, он может выгружать содержимое облачных резервных копий, а также удаленно блокировать все ваши устройства, привязанные к учетной записи.

Персональные данные, которые можно получить из таких устройств:

1️⃣ SMS-сообщения.
Помимо переписки абонентов, в них могут быть сведения о регистрации на сторонних ресурсах, данные аккаунтов пользователя, части номеров платежных карт.

2️⃣ Журнал вызовов устройства.
На основании этих данных злоумышленник может установить круг общения продавца.

3️⃣ Фотоизображения, видеозаписи и записи диктофона.
Эту информацию злоумышленники могут использовать для генерации дипфейков и шантажа владельца. Фотографии паспортов, банковских карт и других документов с персональными данными могут быть использованы напрямую в преступных целях.

4️⃣ Переписки в мессенджерах.
Информация, которой вы делитесь с другими людьми, ваши «кружочки» и голосовые сообщения — все это дополняет портрет вашей личности и может быть использовано для создания дипфейков.

5️⃣ Список контактов абонента.
Позволяет целенаправленно распространять информацию среди ваших знакомых.

6️⃣ Учетные записи пользователя, пароли доступа к онлайн-сервисам.
Несмотря на периодические утечки данных и необходимость использования индивидуальных паролей для разных ресурсов, многие все еще используют один пароль для входа на все сайты. Двухфакторная аутентификация дает дополнительную защиту от несанкционированного доступа, но если злоумышленник получит валидный токен доступа к сайту, срок действия которого еще не истек, 2FA не поможет. Если пароль доступа не подошел, а токен не валиден, злоумышленник может проверить пароли по различным утечкам данных.

7️⃣ Местоположение устройства в конкретный момент времени.
При включенной геолокации можно узнать место проживания человека и места его частого посещения.

Необдуманная продажа техники может иметь серьезные последствия, если устройство попадет к злоумышленнику.

При продаже придерживайтесь следующих мер безопасности:

1️⃣ Если устройство полностью работоспособно: выйдите из ваших аккаунтов, осуществите сброс устройства к заводским настройкам. Для iPhone и iPad воспользуйтесь инструкцией Apple для подготовки устройства к продаже.

2️⃣ Если устройство имеет технические повреждения и нет возможности выполнить сброс к заводским настройкам: продайте устройство по запчастям, без платы с чипом памяти.

3️⃣ Если устройство уже продали:

➖ установите 2FA для всех учетных записей;
➖ закройте активные сессии, связанные с проданным устройством;
➖ смените пароли на сервисах, к которым был доступ с этого устройства;
➖ придумайте и сообщите близким код-слово для подтверждения подлинности просьб от вашего имени о переводе денег и иной помощи.

Для написания этого поста было куплено около 30 телефонов, так что случаи не единичные 🙂

#mobile #ios #android #tip
@ptescalator

Новая старая схема блокировки iPhone через «режим пропажи» снова в ходу. Только теперь она стала изощреннее: в начале поста — реальный пример многоходовочки, который мы подробно описали в статье на Хабре.

Там же — еще несколько случаев и разбор действий злоумышленника: как он получает доступ, блокирует устройство и переходит к требованию выкупа. И главное — инструкция о том, что делать, если вы уже оказались в такой ситуации: какие инструменты помогут, куда стоит написать, а к кому лучше не обращаться, чтобы не сделать еще хуже.

😎 Бонус: мы подготовили наглядную схему восстановления доступа к iPhone. Она доступна в формате PDF с кликабельными ссылками — скачивайте и сохраняйте на разные устройства (на всякий случай).

#ios #dfir #mobile
@ptescalator

Недавно нашему эксперту Виталию, который занимается расследованиями инцидентов с мобильными устройствами, на анализ попал iPhone 5s, на экране которого отображался знакомый многим текст: «iPhone отключен. Подключитесь к iTunes». Это означало, что после 10 неверных попыток ввода пароля устройство заблокировалось. Казалось бы, все данные утеряны, но у Виталия была идея, как их можно извлечь 💡

🔑 Используем checkm8

Для доступа к данным он решил воспользоваться аппаратной уязвимостью iPhone, которая присутствует в процессорах A5–A11. Эксплойт checkm8 позволяет загрузить мобильное устройство в режиме BFU (before first unlock) и извлечь оттуда данные.

💰 Какие данные удалось извлечь

С помощью Elcomsoft iOS Forensic Toolkit и UFED 4PC извлек данные из связки ключей (keychain) и файловой системы устройства.

При анализе эксперт обнаружил:

• Артефакты устройства: модель, версию iOS, серийный номер, IMEI.

• Данные пользователя: номер телефона, информацию о сим-картах, учетных записях, избранных и заблокированных контактах и др.

• Параметры сетевых соединений: список ранее подключенных Wi-Fi-сетей, Bluetooth-устройств, их MAC-адреса.

• Артефакты приложений: данные из незашифрованных баз данных и кэша некоторых приложений.

🎆 Итог

Этот эксперимент показал, что даже заблокированные iPhone хранят ценную информацию, которую можно извлечь при наличии нужных инструментов и знаний. Это еще раз подтверждает важность надежного шифрования и своевременного удаления конфиденциальных данных перед продажей устройства.

С полным текстом проведенного исследования можете ознакомиться в статье на SecurityLab.

#dfir #mobile #ios
@ptescalator

Мобильный телефон — это переносной компьютер, однако в большинстве случаев извлечь данные, необходимые для проведения расследования, посредством простого подключения телефона к компьютеру не получится. Это связано с тем, что производители мобильных устройств принимают меры для ограничения доступа к важным артефактам.

🔓 Мы сделали небольшой обзор необходимых инструментов для извлечения информации из мобильных устройств:

• Elcomsoft iOS Forensic Toolkit очень качественно извлекает данные из различных устройств компании Apple (iPhone, iPad, iPod Touch, Apple TV, Apple Watch и HomePod).

• Passware Kit Mobile позволяет перебирать пароли, извлекать данные из заблокированных, зашифрованных iOS-, Android-устройств.

• РС-3000 Mobile PRO извлекает информацию из зашифрованных, поврежденных мобильных устройств, перебирает пароли, восстанавливает поврежденные файловые системы.

• «Мобильный криминалист Эксперт+» — универсальный инструмент для извлечения данных из iOS-, Android-устройств, облачных сервисов.

• GrayKey позволяет извлекать данные из зашифрованных, запароленных iOS-, Android-устройств последних моделей.

• UFED — хороший универсальный инструмент для извлечения данных как из смартфонов, так и из кнопочных телефонов.

• MOBILedit, MD-NEXT, XRY, SmartPhone Forensic System Professional, iPhone and Android Phone Forensics System — универсальные, достаточно интересные продукты со своими уникальными возможностями.

🔓 Кроме того, для извлечения информации из мобильных телефонов используют ПО от производителя устройства, предназначенное для создания резервных копий:

• iTunes
• Samsung Kies
• Huawei HiSuite
• Mi PC Suite

И от сторонних разработчиков: например, для устройств Apple — iMazing.

🔓 Из open-source-проектов можно выделить:

• Mobile Verification Toolkit — для извлечения из устройств под управлением Android и iOS;

• iOS Device Data Extractor, Libimobiledevice, Universal Forensic Apple Device Extractor — для извлечения из устройств компании Apple.

• Kanade — для извлечения APK-файлов приложений на базе Android.

• Andriller CE (Community Edition), Android Triage — для извлечения из устройств под управлением Android.

🆓 Компания Magnet по запросу бесплатно предоставляет ПО Magnet Acquire для извлечения данных из устройств на базе iOS и Android.

Для использования всех возможностей перечисленного ПО необходимо подключить исследуемый телефон к компьютеру. Для этого пригодятся интерфейсные кабели:

• общего назначения (Type-C, Lightning, Micro USB, OTG-кабели с различными разъемами);

• специализированные (для включения различных режимов): например, для мобильных телефонов Huawei используется кабель Harmony TP для перевода устройства в режим последовательного порта (COM port).

📱 Для работы с поврежденными устройствами или для перевода в специальный режим (когда нужно отклеить экран или заднюю крышку и замкнуть test point на плате) пригодятся:

• паяльный фен (сепаратор для дисплеев);
• паяльная станция;
• программатор (например, Z3X EASY JTAG Plus).

При выборе инструментов для извлечения информации всегда необходимо отталкиваться от того, какие конкретно задачи стоят перед исследователем, какие для решения этих задач необходимо получить артефакты, и с учетом этого выбирать инструментарий для извлечения данных.

💡 Лайфхак: компании часто предоставляют возможность по запросу получить демолицензию ПО, чтобы протестировать его. Это позволяет до покупки ознакомиться с функциональностью ПО и понять, стоит ли его приобретать.

#dfir #mobile #android #ios
@ptescalator