Vulnerabilidades "Airborne" en iOS - Extractor de artefactos de registro

Este script está diseñado para ayudar a identificar posibles rastros del conjunto de vulnerabilidades "Airborne" (que afectan principalmente al protocolo AirPlay de Apple) consultando los registros del sistema iOS desde un archivo .logarchive. Automatiza la ejecución de varios comandos log show diseñados para encontrar anomalías que podrían estar asociadas con estas vulnerabilidades.

Descargo de responsabilidad: Esta herramienta es solo para fines informativos y de investigación. La presencia de entradas de registro que coincidan con estas consultas no confirma definitivamente un compromiso. Las entradas de registro deben analizarse en contexto. La ausencia de hallazgos no garantiza que un dispositivo sea seguro. Asegúrese siempre de que sus dispositivos estén actualizados a las últimas versiones del sistema operativo.

Acerca del autor y el proyecto

Este script fue desarrollado por Anton Shustikov ([email protected], ahora CEO de CakeCats) como parte del proyecto CakesCats.

CakesCats es una iniciativa centrada en:

• Educación en seguridad de la información: Buscando hacer que los conceptos de ciberseguridad sean más accesibles y comprensibles.
• Soporte: Proporcionar soporte gratuito a activistas e individuos que enfrentan situaciones difíciles relacionadas con la seguridad digital.
• Productos simples y claros: Desarrollar herramientas y recursos sencillos para la seguridad y protección digital.

Anton Shustikov es consultor de seguridad de la información y fintech con amplia experiencia en la creación de sistemas de seguridad. Es fundador del proyecto educativo no comercial CakesCats y contribuye con artículos en publicaciones como Forbes y la revista "Xakep". Su trabajo a menudo implica investigar amenazas digitales y promover la higiene digital.

Acerca de las vulnerabilidades "Airborne"

"Airborne" es un nombre dado a un conjunto de vulnerabilidades (descubiertas por Oligo Security en su investigación original) que afectan al protocolo AirPlay de Apple y al kit de desarrollo de software (SDK) de AirPlay. Estas vulnerabilidades pueden afectar a una amplia gama de dispositivos Apple (iPhones, iPads, Macs, Apple TV, etc.) y dispositivos de terceros que utilizan el SDK de AirPlay (por ejemplo, altavoces inteligentes, receptores).

Aspectos clave de las vulnerabilidades tipo "Airborne":

• Contexto del descubrimiento: La investigación original de "Airborne" fue publicada por Oligo Security (Más detalles: https://www.oligo.security/blog/airborne). Este script está diseñado para buscar artefactos forenses generales que podrían estar relacionados con tales vulnerabilidades.
• Protocolos/Componentes afectados: Principalmente Apple AirPlay, pero también servicios relacionados como Bonjour (mDNS) y rapportd, que maneja la comunicación entre dispositivos.
• Impacto potencial: Ejecución remota de código (RCE) (incluyendo variantes sin clic y potencialmente wormables), denegación de servicio (DoS), omisión de listas de control de acceso (ACL), divulgación de información y ataques de intermediario (MITM).
• CVE (Ejemplos contextuales): Si bien los números CVE específicos cambian con cada nuevo descubrimiento, la clase de vulnerabilidades "Airborne" apunta a fallos en cómo AirPlay y los servicios de red relacionados manejan datos, emparejamiento o conexiones. Por ejemplo, discusiones hipotéticas anteriores para esta herramienta consideraron CVE como CVE-2025-24252 (relacionado con problemas de mDNS) o CVE-2025-24132 (relacionado con desbordamientos de búfer en el SDK de AirPlay). Los usuarios siempre deben consultar los detalles específicos de CVE y los avisos de los proveedores para las vulnerabilidades que están investigando.
• Versiones de SO afectadas (Guía general): Típicamente, versiones de iOS, iPadOS, macOS, tvOS y SDK de AirPlay de terceros anteriores a los parches publicados por Apple y los respectivos proveedores en respuesta a divulgaciones de vulnerabilidades específicas. Consulte siempre las actualizaciones de seguridad oficiales de Apple y los avisos de los proveedores para obtener información sobre las versiones parcheadas.

Cómo funciona esta herramienta

Este script ejecuta una serie de comandos log show utilizando predicados cuidadosamente diseñados. Estos predicados están diseñados para filtrar la gran cantidad de información en los registros del sistema iOS para señalar posibles indicadores de compromiso o actividad anómala que podría estar relacionada con vulnerabilidades tipo "Airborne".

El script busca:

• Bloqueos o errores en procesos críticos del sistema involucrados en AirPlay, transmisión de medios, descubrimiento de red y comunicación entre dispositivos (por ejemplo, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Errores registrados específicamente por el subsistema AirPlay o los servicios Bonjour/mDNS.
• Eventos de conexión de red anómalos (por ejemplo, restablecimientos de conexión inesperados, fallos de conexión) reportados por procesos relevantes.
• Pánicos del kernel, que pueden indicar inestabilidad grave del sistema potencialmente causada por un exploit.
• Actividad sospechosa relacionada con perfiles de configuración (como vector general de post-explotación).
• Mensajes de violación de sandbox, que podrían indicar que un exploit intenta salir de su entorno restringido.

La salida de cada consulta se guarda en un archivo de texto separado con nombre descriptivo dentro de un directorio de resultados con marca de tiempo, lo que permite un análisis enfocado de diferentes tipos de posibles artefactos.

Requisitos previos

1. Entorno macOS: La utilidad log show y este script están diseñados para ejecutarse en macOS.
2. Archivo de registro de iOS (.logarchive): Necesita un archivo de registro del sistema iOS (un paquete, que técnicamente es un directorio) del dispositivo que desea analizar. Esto se puede obtener típicamente a través de:
   • Xcode: Conecte el dispositivo iOS a una Mac, abra Xcode, vaya a Window -> Devices and Simulators, seleccione su dispositivo, luego haga clic en "View Device Logs" y "Export".
   • sysdiagnose: Active un sysdiagnose en el iPhone (generalmente presionando los botones de Subir volumen + Bajar volumen + Lateral simultáneamente, pero las combinaciones pueden variar según el modelo y la versión de iOS). Después de que se genere el sysdiagnose (puede tomar varios minutos), se puede enviar por AirDrop a una Mac o acceder a él al sincronizar el iPhone con una Mac (a menudo se encuentra en Finder bajo la ubicación de sincronización del iPhone dentro de un archivo .tar.gz). El .logarchive estará dentro del contenido extraído de sysdiagnose.
3. Shell Bash: El script está escrito para bash.

Configuración y ejecución

1. Guardar el script: Guarde el código del script (proporcionado arriba) como airborne_artifact_extractor.sh (o cualquier otro nombre con extensión .sh).

2. Hacerlo ejecutable: Abra su aplicación Terminal, navegue al directorio donde guardó el script y ejecute el siguiente comando:

   chmod +x airborne_artifact_extractor.sh