iOS-„Airborne"-Schwachstellen - Log-Artefakt-Extraktor

Dieses Skript soll dabei helfen, potenzielle Spuren der „Airborne"-Schwachstellengruppe (die in erster Linie Apples AirPlay-Protokoll betrifft) zu identifizieren, indem es iOS-Systemprotokolle aus einem .logarchive-Bundle durchsucht. Es automatisiert die Ausführung mehrerer log show-Befehle, die darauf zugeschnitten sind, Anomalien zu finden, die mit diesen Schwachstellen in Verbindung stehen könnten.

Haftungsausschluss: Dieses Tool dient ausschließlich Informations- und Untersuchungszwecken. Das Vorhandensein von Protokolleinträgen, die diesen Abfragen entsprechen, bestätigt eine Kompromittierung nicht endgültig. Protokolleinträge sollten im Kontext analysiert werden. Das Fehlen von Ergebnissen garantiert nicht, dass ein Gerät sicher ist. Stellen Sie stets sicher, dass Ihre Geräte auf die neuesten Betriebssystemversionen aktualisiert sind.

Über den Autor und das Projekt

Dieses Skript wurde von Anton Shustikov [email protected] (heute CEO von CakesCats) als Teil des CakesCats-Projekts entwickelt.

CakesCats ist eine Initiative, die sich auf Folgendes konzentriert:

• Ausbildung im Bereich Informationssicherheit: Ziel ist es, Cybersicherheitskonzepte zugänglicher und verständlicher zu machen.
• Unterstützung: Bereitstellung kostenloser Unterstützung für Aktivisten und Personen, die sich in schwierigen Situationen im Zusammenhang mit digitaler Sicherheit befinden.
• Einfache & klare Produkte: Entwicklung unkomplizierter Tools und Ressourcen für digitale Sicherheit und Schutz.

Anton Shustikov ist ein Berater für Informationssicherheit und Fintech mit umfangreicher Erfahrung in der Entwicklung von Sicherheitssystemen. Er ist der Gründer des nichtkommerziellen Bildungsprojekts CakesCats und verfasst Artikel für Publikationen wie Forbes und das Magazin „Xakep". Seine Arbeit umfasst häufig die Untersuchung digitaler Bedrohungen und die Förderung digitaler Hygiene.

Über die „Airborne"-Schwachstellen

„Airborne" ist eine Bezeichnung für eine Gruppe von Schwachstellen (entdeckt von Oligo Security in ihrer ursprünglichen Forschung), die Apples AirPlay-Protokoll und das AirPlay-Software-Development-Kit (SDK) betreffen. Diese Schwachstellen können eine Vielzahl von Apple-Geräten (iPhones, iPads, Macs, Apple TV usw.) sowie Drittanbieter-Geräte, die das AirPlay-SDK verwenden (z. B. Smart-Lautsprecher, Receiver), beeinträchtigen.

Wesentliche Aspekte von Schwachstellen vom Typ „Airborne":

• Entdeckungskontext: Die ursprüngliche „Airborne"-Forschung wurde von Oligo Security veröffentlicht (Weitere Details: https://www.oligo.security/blog/airborne). Dieses Skript soll nach allgemeinen forensischen Artefakten suchen, die mit solchen Schwachstellen in Zusammenhang stehen könnten.
• Betroffene Protokolle/Komponenten: In erster Linie Apple AirPlay, aber auch verwandte Dienste wie Bonjour (mDNS) und rapportd, das die Kommunikation zwischen Geräten abwickelt.
• Potenzielle Auswirkungen: Remote Code Execution (RCE) (einschließlich Zero-Click- und potenziell wurmartiger Varianten), Denial of Service (DoS), Umgehung von Zugriffskontrolllisten (ACL), Offenlegung von Informationen und Man-in-the-Middle-Angriffe (MITM).
• CVEs (kontextbezogene Beispiele): Auch wenn sich die konkreten CVE-Nummern mit jeder neuen Entdeckung ändern, zielt die Klasse der „Airborne"-Schwachstellen auf Fehler in der Art und Weise ab, wie AirPlay und verwandte Netzwerkdienste Daten, Pairing oder Verbindungen verarbeiten. Beispielsweise wurden bei früheren hypothetischen Diskussionen zu diesem Tool CVEs wie CVE-2025-24252 (im Zusammenhang mit mDNS-Problemen) oder CVE-2025-24132 (im Zusammenhang mit Pufferüberläufen im AirPlay-SDK) in Betracht gezogen. Benutzer sollten sich bei den von ihnen untersuchten Schwachstellen stets auf die spezifischen CVE-Details und Herstellerhinweise beziehen.
• Betroffene Betriebssystemversionen (allgemeine Anleitung): In der Regel Versionen von iOS, iPadOS, macOS, tvOS und Drittanbieter-AirPlay-SDKs, die älter sind als die Patches, die Apple und die jeweiligen Hersteller als Reaktion auf bestimmte Schwachstellenmeldungen veröffentlicht haben. Informationen zu gepatchten Versionen finden Sie stets in den offiziellen Sicherheitsupdates von Apple und den Herstellerhinweisen.

So funktioniert dieses Tool

Dieses Skript führt eine Reihe von log show-Befehlen mit sorgfältig ausgearbeiteten Prädikaten aus. Diese Prädikate sollen die große Menge an Informationen in den iOS-Systemprotokollen filtern, um potenzielle Indikatoren einer Kompromittierung oder anomale Aktivitäten zu identifizieren, die möglicherweise mit Schwachstellen vom Typ „Airborne" zusammenhängen.

Das Skript sucht nach:

• Abstürzen oder Fehlern in kritischen Systemprozessen, die an AirPlay, Medien-Streaming, Netzwerkerkennung und der Kommunikation zwischen Geräten beteiligt sind (z. B. mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Fehlern, die speziell vom AirPlay-Subsystem oder von Bonjour-/mDNS-Diensten protokolliert werden.
• Anomalen Netzwerkverbindungsereignissen (z. B. unerwartete Verbindungsabbrüche, fehlgeschlagene Verbindungsversuche), die von relevanten Prozessen gemeldet werden.
• Kernel-Panics, die auf eine schwere Systeminstabilität hindeuten können, die möglicherweise durch einen Exploit verursacht wurde.
• Verdächtigen Aktivitäten im Zusammenhang mit Konfigurationsprofilen (als allgemeiner Post-Exploitation-Vektor).
• Sandbox-Verletzungsmeldungen, die auf einen Exploit hindeuten könnten, der versucht, seine eingeschränkte Umgebung zu verlassen.

Die Ausgabe jeder Abfrage wird in einer separaten, beschreibend benannten Textdatei innerhalb eines mit Zeitstempel versehenen Ergebnisverzeichnisses gespeichert, was eine gezielte Analyse verschiedener Arten potenzieller Artefakte ermöglicht.

Voraussetzungen

1. macOS-Umgebung: Das Dienstprogramm log show und dieses Skript sind für die Ausführung auf macOS vorgesehen.
2. iOS-Protokollarchiv (.logarchive): Sie benötigen ein iOS-Systemprotokollarchiv (ein Bundle, das technisch gesehen ein Verzeichnis ist) von dem Gerät, das Sie analysieren möchten. Dieses kann in der Regel auf folgende Weise bezogen werden:
   • Xcode: Verbinden Sie das iOS-Gerät mit einem Mac, öffnen Sie Xcode, navigieren Sie zu Fenster -> Geräte und Simulatoren, wählen Sie Ihr Gerät aus und klicken Sie dann auf „Geräteprotokolle anzeigen" und „Exportieren".
   • sysdiagnose: Lösen Sie auf dem iPhone ein sysdiagnose aus (normalerweise durch gleichzeitiges Drücken von Lauter-Taste + Leiser-Taste + Seitentaste; die Tastenkombinationen können jedoch je nach Modell und iOS-Version variieren). Nachdem das sysdiagnose erstellt wurde (das kann mehrere Minuten dauern), kann es per AirDrop an einen Mac übertragen oder beim Synchronisieren des iPhones mit einem Mac aufgerufen werden (oft in Finder unter dem Synchronisierungsort des iPhones innerhalb einer .tar.gz-Datei zu finden). Das .logarchive befindet sich im extrahierten Inhalt des sysdiagnose.
3. Bash-Shell: Das Skript ist für bash geschrieben.

Einrichtung und Ausführung

1. Skript speichern: Speichern Sie den Skriptcode (oben bereitgestellt) als airborne_artifact_extractor.sh (oder unter einem anderen Namen mit der Erweiterung .sh).

2. Ausführbar machen: Öffnen Sie Ihre Terminal-App, navigieren Sie zu dem Verzeichnis, in dem Sie das Skript gespeichert haben, und führen Sie den folgenden Befehl aus:

   chmod +x airborne_artifact_extractor.sh