iPhone Fake Airplane Mode: Cómo un espía puede simular el modo avión en su iPhone

Este verano unos investigadores han explicado un "viejo truco" que usamos en un tiempo en el pasado, pero aplicado al mundo de iPhone, donde lo que hacen es jugar con los iconos que "dan seguridad" a los usuarios, anulando las señales visuales de que un iPhone está grabando audio, tiene la cámara activada, o simulando que está activado el modo el avión. Así, si alguien pregunta, se puede enseñar la pantalla del terminal iPhone y decir: "¿Ves? Modo avión activado y no estoy grabando nada", mientras que la realidad es muy distinta.

Figura 1: iPhone Fake Airplane Mode. Cómo un espía

puede simular el mode avión en su iPhone 

Por supuesto, es un terminal iPhone preparado para ser utilizado como herramienta de espionaje, o hacking, en un Red Team, o en algo más serio. Y para ello el terminal tiene que estar con Jailbreak. También es un buen truco para espiar a una persona después de haberle instalado un malware que haga un jailbreak el terminal, y vigile, grabe, y espíe todas las acciones que haga éste cerca de su móvil. Un posible escenario en APTs que podría llegar a darse.

Figura 2: Artículo explicando como hacer Fake Flight Mode

De hecho, con un terminal grabando el audio y subiendo las pulsaciones a un C&C, se podría llegar a saber hasta lo que teclee en los ordenadores cercanos, ya que las técnicas de Audio Snooping están a un nivel altísimo, y hemos visto que usando Machine Learning sobre espectrogramas de los audios de las pulsaciones (como hicimos en el artículo de "Are you takin' ta me?" en nuestro análisis de voces nosotros) llegan a conseguir ratios de acierto superiores al 90%, como hemos podido ver en el último artículo académico "A Practical Deep Learning-Based Acoustic Side Channel Attack on Keyboards" publicado el pasado 2 de Agosto de este año, hablando sobre este tema.

Figura 3: A Practical Deep Learning-Based Acoustic Side Channel Attack on Keyboards

El truco que utilizan los investigadores, que puedes leer en detalle en su blog, no es nada más que asegurarse de que las funciones siguen estando disponibles, pero manipular el aspecto del interfaz que tiene el terminal. Y como he dicho, para poder hacer esto, se necesita tener el terminal iPhone con Jailbreak, ya sea porque el dueño quiere usarlo como herramienta espía, o porque un malware ha conseguido hacer el jailbreak y transforma el aspecto del iPhone.

Figura 4: Libro de Hacking iOS:iPhone & iPad (2ª Edicón) en 0xWord de
Chema Alonso, Ioseba Palop, Pablo Gonzáleez y Alejandro Ramos entre otros.

Y esto me ha recordado a una historia de hace mucho tiempo, con Windows XP y los años de los Cibercafés, donde aprovechábamos los servicios no protegidos de Windows XP para conseguir acceso como System a un equipo Windows, y luego matábamos los antivirus, las herramientas de seguridad, y las reemplazábamos con un programa de cosecha propia con los iconos en la barra de tareas. De esta forma cualquiera que pasar por detrás de la pantalla mirando a ver si el equipo de control de seguridad del cibercafé estaba protegido, vería los iconos de su antivirus y su programa de control remoto del equipo. 

Un truco del pasado con Windows XP y los cibercafés

Este truco era tan sencillo en aquellos momentos como abrir el administrador de tareas, ver los procesos que corrían como System, buscar la ruta en el sistema de ficheros del binario que había ejecutado, irse allí, y renombrarlo. Luego se copiaba una shell de comandos con el nombre del binario que iba a buscar e sistema en el inicio, y reiniciar el sistema operativo.

En el siguiente arranque, en lugar de encontrarse el binario que esperaba en esa ruta, se iba a encontrar con nuestra shell, que iba a ser ejecutada como System.  Tan sencillo como eso. Y una vez que tenías control del equipo, ponías los iconos que querías en la barra de tareas. Nada funcionaba, pero el aspecto visual era que seguía estando el Antivirus y las herramientas de seguridad. 

Figura 5: Microsoft Office 2013 era vulnerable a este bug de rutas sin entrecomillar

Años después, esta técnica se siguió utilizando, pero en este caso incluso buscando rutas inseguras, aprovechándose del sistema de nombres 8:3 histórico de los sistemas MS-DOS y las rutas con espacios sin entrecomillar. Y lo mismo con las técnicas de DLL Hijacking que tan comunes se harían después.  Así que, sí, esto que han publicado los investigadores solo es una simulación de iconos, pero bien utilizada puede ser una herramienta poderosa en ciertos escenarios.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)