Vulnérabilités « Airborne » pour iOS – Extracteur d'artefacts de journaux

Ce script est conçu pour aider à identifier les traces potentielles de l'ensemble de vulnérabilités « Airborne » (affectant principalement le protocole AirPlay d'Apple) en interrogeant les journaux système iOS à partir d'un bundle .logarchive. Il automatise l'exécution de plusieurs commandes log show adaptées pour trouver des anomalies qui pourraient être associées à ces vulnérabilités.

Avertissement : Cet outil est fourni à des fins informatives et d'investigation uniquement. La présence d'entrées de journal correspondant à ces requêtes ne confirme pas de manière définitive une compromission. Les entrées de journal doivent être analysées dans leur contexte. L'absence de résultats ne garantit pas qu'un appareil est sécurisé. Assurez-vous toujours que vos appareils sont mis à jour avec les dernières versions du système d'exploitation.

À propos de l'auteur et du projet

Ce script a été développé par Anton Shustikov [email protected] (actuellement CEO de cakescats) dans le cadre du projet CakesCats.

CakesCats est une initiative axée sur :

• Éducation à la cybersécurité : Rendre les concepts de cybersécurité plus accessibles et compréhensibles.
• Accompagnement : Fournir un soutien gratuit aux activistes et aux personnes confrontées à des situations difficiles liées à la sécurité numérique.
• Produits simples et clairs : Développer des outils et des ressources simples et directs pour la sécurité et la sûreté numériques.

Anton Shustikov est consultant en sécurité de l'information et en fintech avec une vaste expérience dans la création de systèmes de sécurité. Il est le fondateur du projet éducatif non commercial CakesCats et contribue par des articles à des publications comme Forbes et le magazine « Xakep ». Son travail implique souvent l'investigation de menaces numériques et la promotion d'une bonne hygiène numérique.

À propos des vulnérabilités « Airborne »

« Airborne » est le nom donné à un ensemble de vulnérabilités (découvertes par Oligo Security dans leurs recherches originales) affectant le protocole AirPlay d'Apple et le kit de développement logiciel (SDK) AirPlay. Ces vulnérabilités peuvent toucher une large gamme d'appareils Apple (iPhone, iPad, Mac, Apple TV, etc.) et des appareils tiers utilisant le SDK AirPlay (par exemple, enceintes connectées, récepteurs).

Aspects clés des vulnérabilités de type « Airborne » :

• Contexte de découverte : Les recherches originales sur « Airborne » ont été publiées par Oligo Security (plus de détails : https://www.oligo.security/blog/airborne). Ce script est conçu pour rechercher des artefacts forensiques généraux qui pourraient être liés à de telles vulnérabilités.
• Protocoles/composants concernés : Principalement Apple AirPlay, mais aussi des services associés comme Bonjour (mDNS) et rapportd qui gère la communication de dispositif à dispositif.
• Impact potentiel : Exécution de code à distance (RCE) (y compris les variantes zero-click et potentiellement auto-propagatrices), déni de service (DoS), contournement de liste de contrôle d'accès (ACL), divulgation d'informations et attaques de l'homme du milieu (MITM).
• CVE (exemples contextuels) : Bien que les numéros CVE spécifiques changent à chaque nouvelle découverte, la classe de vulnérabilités « Airborne » cible des défauts dans la façon dont AirPlay et les services réseau associés gèrent les données, l'appairage ou les connexions. Par exemple, des discussions hypothétiques antérieures pour cet outil ont envisagé des CVE comme CVE-2025-24252 (liée à des problèmes mDNS) ou CVE-2025-24132 (liée à des dépassements de tampon dans le SDK AirPlay). Les utilisateurs doivent toujours se référer aux détails CVE spécifiques et aux avis des éditeurs pour les vulnérabilités qu'ils étudient.
• Versions de système d'exploitation concernées (indication générale) : Généralement, les versions d'iOS, iPadOS, macOS, tvOS et des SDK AirPlay tiers antérieures aux correctifs publiés par Apple et les éditeurs respectifs en réponse aux divulgations de vulnérabilités spécifiques. Consultez toujours les mises à jour de sécurité officielles d'Apple et les avis des éditeurs pour connaître les versions corrigées.

Comment fonctionne cet outil

Ce script exécute une série de commandes log show avec des prédicats soigneusement élaborés. Ces prédicats sont conçus pour filtrer la vaste quantité d'informations contenues dans les journaux système iOS afin d'identifier les indicateurs potentiels de compromission ou d'activité anormale qui pourraient être liés aux vulnérabilités de type « Airborne ».

Le script recherche :

• Des plantages ou des erreurs dans les processus système critiques impliqués dans AirPlay, la diffusion multimédia, la découverte réseau et la communication de dispositif à dispositif (par exemple, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Des erreurs spécifiquement journalisées par le sous-système AirPlay ou les services Bonjour/mDNS.
• Des événements de connexion réseau anormaux (par exemple, des réinitialisations de connexion inattendues, des échecs de connexion) signalés par les processus concernés.
• Des paniques du noyau, qui peuvent indiquer une instabilité système grave potentiellement causée par une exploitation.
• Une activité suspecte liée aux profils de configuration (en tant que vecteur général de post-exploitation).
• Des messages de violation de sandbox, qui pourraient indiquer qu'une exploitation tente de s'échapper de son environnement restreint.

La sortie de chaque requête est enregistrée dans un fichier texte séparé, nommé de manière descriptive, dans un répertoire de résultats horodaté, ce qui permet une analyse ciblée de différents types d'artefacts potentiels.

Prérequis

1. Environnement macOS : L'utilitaire log show et ce script sont destinés à être exécutés sur macOS.
2. Archive de journaux iOS (.logarchive) : Vous avez besoin d'une archive de journaux système iOS (un bundle, qui est techniquement un répertoire) provenant de l'appareil que vous souhaitez analyser. Elle peut généralement être obtenue via :
   • Xcode : Connectez l'appareil iOS à un Mac, ouvrez Xcode, allez dans Window -> Devices and Simulators, sélectionnez votre appareil, puis cliquez sur « View Device Logs » et « Export ».
   • sysdiagnose : Déclenchez une sysdiagnose sur l'iPhone (généralement en appuyant simultanément sur Volume Up + Volume Down + Bouton latéral, mais les combinaisons peuvent varier selon le modèle et la version d'iOS). Une fois la sysdiagnose générée (cela peut prendre plusieurs minutes), elle peut être envoyée par AirDrop à un Mac ou accessible lors de la synchronisation de l'iPhone avec un Mac (souvent dans Finder, à l'emplacement de synchronisation de l'iPhone, dans un fichier .tar.gz). Le .logarchive se trouvera dans le contenu extrait de la sysdiagnose.
3. Shell Bash : Le script est écrit pour bash.

Installation et exécution

1. Enregistrer le script : Enregistrez le code du script (fourni ci-dessus) sous le nom airborne_artifact_extractor.sh (ou tout autre nom avec une extension .sh).

2. Le rendre exécutable : Ouvrez votre application Terminal, accédez au répertoire où vous avez enregistré le script, puis exécutez la commande suivante :

   chmod +x airborne_artifact_extractor.sh