Vulnerabilità "Airborne" di iOS - Estrattore di Artefatti di Log

Questo script è progettato per aiutare a identificare potenziali tracce del set di vulnerabilità "Airborne" (che colpiscono principalmente il protocollo AirPlay di Apple) interrogando i log di sistema iOS da un bundle .logarchive. Automatizza l'esecuzione di diversi comandi log show personalizzati per trovare anomalie che potrebbero essere associate a queste vulnerabilità.

Disclaimer: Questo strumento è esclusivamente a scopo informativo e investigativo. La presenza di voci di log corrispondenti a queste query non conferma in modo definitivo un compromesso. Le voci di log devono essere analizzate nel contesto. L'assenza di riscontri non garantisce che un dispositivo sia sicuro. Assicurati sempre che i tuoi dispositivi siano aggiornati alle ultime versioni del sistema operativo.

Informazioni sull'Autore e sul Progetto

Questo script è stato sviluppato da Anton Shustikov ([email protected], ora CEO di CakeCats) come parte del progetto CakesCats.

CakesCats è un'iniziativa incentrata su:

• Educazione alla Sicurezza Informatica: mira a rendere i concetti di cybersecurity più accessibili e comprensibili.
• Supporto: fornire supporto gratuito ad attivisti e individui che affrontano situazioni difficili legate alla sicurezza digitale.
• Prodotti Semplici e Chiari: sviluppare strumenti e risorse semplici per la sicurezza digitale.

Anton Shustikov è un consulente di sicurezza informatica e fintech con una vasta esperienza nella creazione di sistemi di sicurezza. È il fondatore del progetto educativo non commerciale CakesCats e contribuisce con articoli a pubblicazioni come Forbes e la rivista "Xakep". Il suo lavoro spesso riguarda l'indagine di minacce digitali e la promozione dell'igiene digitale.

Informazioni sulle Vulnerabilità "Airborne"

"Airborne" è un nome dato a un insieme di vulnerabilità (scoperte da Oligo Security nella loro ricerca originale) che colpiscono il protocollo AirPlay di Apple e l'AirPlay Software Development Kit (SDK). Queste vulnerabilità possono avere un impatto su un'ampia gamma di dispositivi Apple (iPhone, iPad, Mac, Apple TV, ecc.) e dispositivi di terze parti che utilizzano l'SDK AirPlay (ad esempio, altoparlanti intelligenti, ricevitori).

Aspetti chiave delle vulnerabilità di tipo "Airborne":

• Contesto della scoperta: La ricerca originale "Airborne" è stata pubblicata da Oligo Security (Maggiori dettagli: https://www.oligo.security/blog/airborne). Questo script è progettato per cercare artefatti forensi generali che potrebbero essere correlati a tali vulnerabilità.
• Protocolli/Componenti interessati: Principalmente Apple AirPlay, ma anche servizi correlati come Bonjour (mDNS) e rapportd che gestisce la comunicazione da dispositivo a dispositivo.
• Potenziale impatto: Remote Code Execution (RCE) (incluse varianti zero-click e potenzialmente wormable), Denial of Service (DoS), bypass delle Access Control List (ACL), divulgazione di informazioni e attacchi Man-in-the-Middle (MITM).
• CVE (Esempi contestuali): Sebbene i numeri CVE specifici cambino ad ogni nuova scoperta, la classe di vulnerabilità "Airborne" colpisce i difetti nel modo in cui AirPlay e i servizi di rete correlati gestiscono dati, associazione o connessioni. Ad esempio, precedenti discussioni ipotetiche per questo strumento consideravano CVE come CVE-2025-24252 (relativa a problemi mDNS) o CVE-2025-24132 (relativa a buffer overflow nell'SDK AirPlay). Gli utenti dovrebbero sempre fare riferimento ai dettagli CVE specifici e agli advisory dei fornitori per le vulnerabilità che stanno indagando.
• Versioni del sistema operativo interessate (Guida generale): Tipicamente, versioni di iOS, iPadOS, macOS, tvOS e SDK AirPlay di terze parti precedenti alle patch rilasciate da Apple e dai rispettivi fornitori in risposta a specifiche divulgazioni di vulnerabilità. Consulta sempre gli aggiornamenti di sicurezza ufficiali di Apple e gli advisory dei fornitori per informazioni sulle versioni corrette.

Come Funziona Questo Strumento

Questo script esegue una serie di comandi log show utilizzando predicati accuratamente costruiti. Questi predicati sono progettati per filtrare la vasta quantità di informazioni nei log di sistema iOS e individuare potenziali indicatori di compromissione o attività anomale che potrebbero essere correlate a vulnerabilità di tipo "Airborne".

Lo script cerca:

• Crash o errori in processi di sistema critici coinvolti in AirPlay, streaming multimediale, scoperta di rete e comunicazione da dispositivo a dispositivo (ad esempio mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Errori registrati specificamente dal sottosistema AirPlay o dai servizi Bonjour/mDNS.
• Eventi di connessione di rete anomali (ad esempio, reset di connessione imprevisti, fallimenti di connessione) segnalati da processi rilevanti.
• Kernel panic, che possono indicare una grave instabilità del sistema potenzialmente causata da un exploit.
• Attività sospette relative ai profili di configurazione (come vettore generale di post-sfruttamento).
• Messaggi di violazione del sandbox, che potrebbero indicare un exploit che tenta di uscire dal suo ambiente ristretto.

L'output di ogni query viene salvato in un file di testo separato con nome descrittivo all'interno di una directory di risultati con timestamp, consentendo un'analisi mirata di diversi tipi di potenziali artefatti.

Prerequisiti

1. Ambiente macOS: L'utilità log show e questo script sono progettati per essere eseguiti su macOS.
2. Archivio log iOS (.logarchive): È necessario un archivio di log di sistema iOS (un bundle, che tecnicamente è una directory) dal dispositivo che si intende analizzare. Può essere ottenuto tipicamente tramite:
   • Xcode: Connetti il dispositivo iOS a un Mac, apri Xcode, vai su Window -> Devices and Simulators, seleziona il tuo dispositivo, quindi fai clic su "View Device Logs" e "Export".
   • sysdiagnose: Attiva un sysdiagnose sull'iPhone (di solito premendo contemporaneamente Volume Su + Volume Giù + Pulsante laterale, ma le combinazioni possono variare in base al modello e alla versione iOS). Dopo che sysdiagnose è stato generato (possono volerci diversi minuti), può essere inviato tramite AirDrop a un Mac o accessibile quando si sincronizza l'iPhone con un Mac (spesso presente in Finder nella posizione di sincronizzazione dell'iPhone all'interno di un file .tar.gz). Il .logarchive sarà all'interno del contenuto estratto di sysdiagnose.
3. Shell Bash: Lo script è scritto per bash.

Configurazione ed Esecuzione

1. Salva lo Script: Salva il codice dello script (fornito sopra) come airborne_artifact_extractor.sh (o qualsiasi altro nome con estensione .sh).

2. Rendilo Eseguibile: Apri il Terminale, vai alla directory in cui hai salvato lo script ed esegui il seguente comando:

   chmod +x airborne_artifact_extractor.sh
   

3. Controlla l'Attributo di Quarantena di macOS (Importante per script scaricati): Se hai scaricato questo script da Internet, macOS potrebbe metterlo in quarantena, impedendone l'esecuzione corretta o totale.

   • Per verificare se l'attributo di quarantena è impostato, esegui:

     xattr airborne_artifact_extractor.sh
     

   • Se l'output include com.apple.quarantine, rimuovi questo attributo eseguendo:

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   Se incontri ancora problemi nell'esecuzione dello script, specialmente se si trova in una directory come ~/Downloads, assicurati che il tuo Terminale abbia i permessi necessari (ad esempio "Accesso completo al disco" in Impostazioni di Sistema -> Privacy e Sicurezza) per accedere alla posizione dello script e all'archivio di log.