Onderzoekers van Kaspersky hebben een nieuwe lichtgewicht methode onthuld om geavanceerde iOS-spyware zoals Pegasus en de nieuwe Pegasus-achtige bedreigingen Reign en Predator te detecteren en hebben een zelfcontroletool voor gebruikers gemaakt.
Utrecht,
16 januari 2024 – Kaspersky's Global Research and Analysis Team (GReAT) heeft een lichtgewicht methode ontwikkeld om infectie-indicatoren te detecteren van geavanceerde iOS spyware zoals
Pegasus,
Reign en
Predator door het analyseren van Shutdown.log, een nog niet eerder onderzocht forensisch artefact.
De experts van het bedrijf ontdekten dat Pegasus infectiesporen achterlaten in het onverwachte systeemlogboek, Shutdown.log, dat wordt opgeslagen in het sysdiagnose-archief van elk mobiel iOS-apparaat. Dit archief bewaart informatie van elke herstartsessie, wat betekent dat afwijkingen die verband houden met de Pegasus-malware zichtbaar worden in het logboek als een geïnfecteerde gebruiker zijn apparaat opnieuw opstart.
Onder de geïdentificeerde processen waren gevallen van "sticky" processen die het opnieuw opstarten belemmerden, met name diegene welke waren gekoppeld aan Pegasus, samen met infectiesporen die waren ontdekt door
waarnemingen van de cybersecuritygemeenschap.
"De analyse van de sysdiag-dump blijkt minimaal ingrijpend en licht in gebruik te zijn, waarbij wordt vertrouwd op systeem gebaseerde artefacten om mogelijke infecties op de iPhone te identificeren. Nadat we de infectie-indicator in dit logboek hebben ontvangen en de infectie hebben bevestigd met behulp van de Mobile Verification Toolkit (MVT) voor verwerking van andere iOS-artefacten, wordt dit logboek nu onderdeel van een allesomvattende aanpak om iOS-malware-infecties te onderzoeken. Aangezien we de consistentie van dit gedrag hebben bevestigd met de andere Pegasus-infecties die we hebben geanalyseerd, geloven we dat het zal dienen als een betrouwbaar forensisch artefact ter ondersteuning van infectie-analyse," zegt Maher Yamout, Lead Security Researcher bij Kaspersky's GReAT.
Bij het analyseren van het Shutdown.log in Pegasus-infecties zagen Kaspersky-experts een gemeenschappelijk infectiepad, met name "/private/var/db/", dat paden weerspiegelt die worden
gezien in infecties die worden veroorzaakt door andere iOS-malware zoals Reign en Predator. De onderzoekers beweren dat dit logbestand potentieel heeft voor het identificeren van infecties die gerelateerd zijn aan deze malwarefamilies.
Om het zoeken naar spyware-infecties te vergemakkelijken, ontwikkelden Kaspersky-experts een
hulpprogramma voor zelfcontrole voor gebruikers.
De Python3 scripts vergemakkelijken de extractie, analyse en parsing van het Shutdown.log artefact. Het hulpprogramma wordt openbaar gedeeld op
GitHub en is beschikbaar voor macOS, Windows en Linux.
###
Over Kaspersky
Kaspersky, opgericht in 1997, is wereldwijd actief op het gebied van cybersecurity en digital privacy. Kaspersky’s threat intelligence en security-expertise worden voortdurend omgezet in innovatieve security-oplossingen en -diensten om bedrijven, kritieke infrastructuren, overheden en consumenten van over de hele wereld te beschermen. Het uitgebreide securityportfolio van het bedrijf omvat toonaangevende endpoint security en een aantal gespecialiseerde security-oplossingen en -diensten om geavanceerde digitale bedreigingen te bestrijden. Meer dan 400 miljoen gebruikers en 240.000 zakelijke gebruikers worden beschermd door technologieën van Kaspersky. Kijk voor meer informatie op
www.kaspersky.nl.