ثغرات iOS "Airborne" - مستخرج آثار السجلات

تم تصميم هذا السكريبت للمساعدة في تحديد الآثار المحتملة لمجموعة ثغرات "Airborne" (التي تؤثر بشكل أساسي على بروتوكول AirPlay من Apple) من خلال الاستعلام في سجلات نظام iOS الموجودة في حزمة .logarchive. يقوم بأتمتة تنفيذ عدة أوامر log show مصممة خصيصًا للعثور على الحالات الشاذة التي قد تكون مرتبطة بهذه الثغرات.

إخلاء مسؤولية: هذه الأداة لأغراض إعلامية وتحقيقية فقط. وجود إدخالات سجل مطابقة لهذه الاستعلامات لا يؤكد بشكل قاطع حدوث اختراق. يجب تحليل إدخالات السجل في سياقها. عدم وجود نتائج لا يضمن أن الجهاز آمن. تأكد دائمًا من تحديث أجهزتك إلى أحدث إصدارات أنظمة التشغيل.

عن المؤلف والمشروع

تم تطوير هذا السكريبت بواسطة أنطون شوستيكوف [email protected] (وهو الآن الرئيس التنفيذي لشركة CakesCats) كجزء من مشروع CakesCats.

CakesCats هي مبادرة تركز على:

• التثقيف في أمن المعلومات: تهدف إلى جعل مفاهيم الأمن السيبراني أكثر سهولةً وفهمًا.
• الدعم: تقديم دعم مجاني للناشطين والأفراد الذين يواجهون مواقف صعبة تتعلق بالأمن الرقمي.
• منتجات بسيطة وواضحة: تطوير أدوات وموارد واضحة ومباشرة للسلامة والأمن الرقمي.

أنطون شوستيكوف هو مستشار في أمن المعلومات والتكنولوجيا المالية (fintech) يتمتع بخبرة واسعة في إنشاء أنظمة الأمان. وهو مؤسس المشروع التعليمي غير التجاري CakesCats ويساهم بمقالات في منشورات مثل Forbes ومجلة "Xakep". غالبًا ما يتضمن عمله التحقيق في التهديدات الرقمية وتعزيز النظافة الرقمية.

حول ثغرات "Airborne"

"Airborne" هو اسم يُطلق على مجموعة من الثغرات (التي اكتشفتها Oligo Security في أبحاثها الأصلية) التي تؤثر على بروتوكول AirPlay من Apple ومجموعة تطوير البرامج (SDK) الخاصة بـ AirPlay. يمكن أن تؤثر هذه الثغرات على مجموعة واسعة من أجهزة Apple (iPhone وiPad وMac وApple TV وغيرها) والأجهزة التابعة لجهات خارجية التي تستخدم AirPlay SDK (مثل مكبرات الصوت الذكية وأجهزة الاستقبال).

الجوانب الرئيسية لثغرات من نوع "Airborne":

• سياق الاكتشاف: نُشر بحث "Airborne" الأصلي بواسطة Oligo Security (لمزيد من التفاصيل: https://www.oligo.security/blog/airborne). صُمم هذا السكريبت للبحث عن آثار جنائية عامة قد تكون مرتبطة بمثل هذه الثغرات.
• البروتوكولات/المكونات المتأثرة: بشكل أساسي Apple AirPlay، ولكن أيضًا الخدمات ذات الصلة مثل Bonjour (mDNS) وrapportd الذي يتولى الاتصال بين الأجهزة.
• الأثر المحتمل: تنفيذ التعليمات البرمجية عن بُعد (RCE) (بما في ذلك المتغيرات صفرية النقر والتي قد تكون قابلة للانتشار كدودة)، وحجب الخدمة (DoS)، وتجاوز قائمة التحكم بالوصول (ACL)، وكشف المعلومات، وهجمات الرجل في المنتصف (MITM).
• CVEs (أمثلة سياقية): بينما تتغير أرقام CVE المحددة مع كل اكتشاف جديد، تستهدف فئة ثغرات "Airborne" العيوب في كيفية تعامل AirPlay وخدمات الشبكة ذات الصلة مع البيانات أو الاقتران (pairing) أو الاتصالات. على سبيل المثال، ناقشت الفرضيات السابقة لهذه الأداة CVEs مثل CVE-2025-24252 (المرتبط بمشكلات mDNS) أو CVE-2025-24132 (المرتبط بتجاوزات سعة المخزن المؤقت في AirPlay SDK). يجب على المستخدمين دائمًا الرجوع إلى تفاصيل CVE المحددة وإشعارات البائعين الخاصة بالثغرات التي يحققون فيها.
• إصدارات أنظمة التشغيل المتأثرة (إرشادات عامة): عادةً، إصدارات iOS وiPadOS وmacOS وtvOS وAirPlay SDKs التابعة لجهات خارجية الأقدم من التصحيحات التي أصدرتها Apple والبائعون المعنيون استجابةً للإفصاحات المحددة عن الثغرات. استشر دائمًا تحديثات الأمان الرسمية من Apple وإشعارات البائعين للحصول على معلومات حول الإصدارات المصححة.

كيف تعمل هذه الأداة

يقوم هذا السكريبت بتنفيذ سلسلة من أوامر log show باستخدام مسندات (predicates) مصممة بعناية. صُممت هذه المسندات لتصفية الكم الهائل من المعلومات في سجلات نظام iOS لتحديد المؤشرات المحتملة للاختراق أو النشاط الشاذ الذي قد يكون مرتبطًا بثغرات من نوع "Airborne".

يبحث السكريبت عن:

• أعطال أو أخطاء في عمليات النظام الحرجة المشاركة في AirPlay وبث الوسائط واكتشاف الشبكة والاتصال بين الأجهزة (مثل mediaserverd وAirPlayXPCHelper وrapportd وmDNSResponder).
• أخطاء يتم تسجيلها خصيصًا بواسطة النظام الفرعي لـ AirPlay أو خدمات Bonjour/mDNS.
• أحداث اتصال شبكة شاذة (مثل عمليات إعادة تعيين اتصال غير متوقعة أو فشل في الاتصال) تم الإبلاغ عنها بواسطة العمليات ذات الصلة.
• أعطال النواة (kernel panics)، والتي يمكن أن تشير إلى عدم استقرار شديد في النظام قد يكون ناتجًا عن استغلال.
• نشاط مشبوه متعلق بملفات التعريف (configuration profiles) (كمسار عام لما بعد الاستغلال).
• رسائل انتهاك صندوق الحماية (sandbox)، والتي قد تشير إلى محاولة استغلال للخروج من بيئته المقيدة.

يتم حفظ مخرجات كل استعلام في ملف نصي منفصل ذي اسم وصفي داخل دليل نتائج يحمل طابعًا زمنيًا، مما يتيح إجراء تحليل مركّز لأنواع مختلفة من الآثار المحتملة.

المتطلبات الأساسية

1. بيئة macOS: أداة log show وهذا السكريبت مصممان للعمل على macOS.
2. أرشيف سجلات iOS (.logarchive): تحتاج إلى أرشيف سجلات نظام iOS (حزمة، وهي تقنيًا دليل) من الجهاز الذي تنوي تحليله. يمكن الحصول عليه عادةً عبر:
   • Xcode: قم بتوصيل جهاز iOS بجهاز Mac، وافتح Xcode، وانتقل إلى Window -> Devices and Simulators، وحدد جهازك، ثم انقر فوق "View Device Logs" ثم "Export".
   • sysdiagnose: قم بتشغيل sysdiagnose على iPhone (عادةً بالضغط على أزرار رفع الصوت وخفض الصوت والزر الجانبي في وقت واحد، لكن التركيبات قد تختلف حسب الطراز وإصدار iOS). بعد إنشاء sysdiagnose (قد يستغرق عدة دقائق)، يمكن إرساله عبر AirDrop إلى جهاز Mac أو الوصول إليه عند مزامنة iPhone مع Mac (غالبًا ما تجده في Finder ضمن موقع مزامنة iPhone داخل ملف .tar.gz). سيكون .logarchive داخل محتويات sysdiagnose المستخرجة.
3. Bash Shell: السكريبت مكتوب بلغة bash.

الإعداد والتنفيذ

1. حفظ السكريبت: احفظ كود السكريبت (المقدم أعلاه) كـ airborne_artifact_extractor.sh (أو أي اسم آخر بامتداد .sh).

2. جعله قابلاً للتنفيذ: افتح تطبيق Terminal، وانتقل إلى الدليل الذي حفظت فيه السكريبت، وقم بتشغيل الأمر التالي:

   chmod +x airborne_artifact_extractor.sh
   

3. التحقق من سمة العزل في macOS (مهم للسكريبتات التي تم تنزيلها): إذا قمت بتنزيل هذا السكريبت من الإنترنت، فقد يقوم macOS بعزله، مما قد يمنعه من العمل بشكل صحيح أو من العمل تمامًا.

   • للتحقق مما إذا كانت سمة العزل مضبوطة، قم بتشغيل:

     xattr airborne_artifact_extractor.sh
     

   • إذا تضمن الإخراج com.apple.quarantine، فقم بإزالة هذه السمة عن طريق تشغيل:

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   إذا كنت لا تزال تواجه مشكلات في تشغيل السكريبت، خاصةً إذا كان موجودًا في دليل مثل ~/Downloads، فتأكد من أن تطبيق Terminal لديه الأذونات اللازمة (مثل "Full Disk Access" في System Settings -> Privacy & Security) للوصول إلى موقع السكريبت وأرشيف السجلات.

استكشاف أخطاء التنفيذ وإصلاحها

المفسِّر غير الصالح (Bad Interpreter) أو أخطاء ^M (مثل /bin/bash^M: bad interpreter: No such file or directory)

إذا واجهت خطأً مثل bash: ./your_script_name.sh: /bin/bash^M: bad interpreter: No such file or directory أو /usr/bin/env: ‘bash\r’: No such file or directory أو رسائل مشابهة تتضمن أحرف \r أو ^M عند محاولة تنفيذ السكريبت، فمن المرجح أن السبب يعود إلى نهايات الأسطر بنمط Windows (CRLF - Carriage Return Line Feed) بدلاً من نهايات الأسطر بنمط Unix (LF - Line Feed).

يحدث هذا عادةً إذا تم إنشاء ملف السكريبت أو تحريره على نظام Windows ثم نقله إلى macOS أو Linux دون تحويل نهايات الأسطر. تتوقع أنظمة Unix استخدام LF فقط كمُنهٍ للسطر، ويُفسَّر حرف CR الإضافي (\r أو ^M) بشكل خاطئ على أنه جزء من مسار المفسِّر أو الأوامر.

الحل: تحويل نهايات الأسطر باستخدام dos2unix

أسهل طريقة لإصلاح ذلك هي استخدام أداة dos2unix.

1. تثبيت dos2unix:

   • على macOS (باستخدام Homebrew): إذا لم يكن لديك Homebrew، فقم بتثبيته أولاً من brew.sh. ثم قم بتشغيل:

     brew install dos2unix
     

   • على توزيعات Linux القائمة على Debian/Ubuntu:

     sudo apt update
     sudo apt install dos2unix
     

   • على توزيعات Linux القائمة على Fedora/RHEL:

     sudo dnf install dos2unix # (or yum for older versions)