airborn-IOS-CVE-2025-24252

Estrattore di artefatti di log delle vulnerabilità Airborne di iOS da LogArchive CVE-2025-24252

Anton Shustikov è un consulente di sicurezza informatica e fintech con una vasta esperienza nella creazione di sistemi di sicurezza. È il fondatore del progetto educativo non commerciale CakesCats e contribuisce con articoli a pubblicazioni come Forbes e la rivista "Xakep". Il suo lavoro spesso riguarda l'indagine di minacce digitali e la promozione dell'igiene digitale.

Informazioni sulle Vulnerabilità "Airborne"

"Airborne" è un nome dato a un insieme di vulnerabilità (scoperte da Oligo Security nella loro ricerca originale) che colpiscono il protocollo AirPlay di Apple e l'AirPlay Software Development Kit (SDK). Queste vulnerabilità possono avere un impatto su un'ampia gamma di dispositivi Apple (iPhone, iPad, Mac, Apple TV, ecc.) e dispositivi di terze parti che utilizzano l'SDK AirPlay (ad esempio, altoparlanti intelligenti, ricevitori).

Aspetti chiave delle vulnerabilità di tipo "Airborne":

• Contesto della scoperta: La ricerca originale "Airborne" è stata pubblicata da Oligo Security (Maggiori dettagli: https://www.oligo.security/blog/airborne). Questo script è progettato per cercare artefatti forensi generali che potrebbero essere correlati a tali vulnerabilità.
• Protocolli/Componenti interessati: Principalmente Apple AirPlay, ma anche servizi correlati come Bonjour (mDNS) e rapportd che gestisce la comunicazione da dispositivo a dispositivo.
• Potenziale impatto: Remote Code Execution (RCE) (incluse varianti zero-click e potenzialmente wormable), Denial of Service (DoS), bypass delle Access Control List (ACL), divulgazione di informazioni e attacchi Man-in-the-Middle (MITM).
• CVE (Esempi contestuali): Sebbene i numeri CVE specifici cambino ad ogni nuova scoperta, la classe di vulnerabilità "Airborne" colpisce i difetti nel modo in cui AirPlay e i servizi di rete correlati gestiscono dati, associazione o connessioni. Ad esempio, precedenti discussioni ipotetiche per questo strumento consideravano CVE come CVE-2025-24252 (relativa a problemi mDNS) o CVE-2025-24132 (relativa a buffer overflow nell'SDK AirPlay). Gli utenti dovrebbero sempre fare riferimento ai dettagli CVE specifici e agli advisory dei fornitori per le vulnerabilità che stanno indagando.
• Versioni del sistema operativo interessate (Guida generale): Tipicamente, versioni di iOS, iPadOS, macOS, tvOS e SDK AirPlay di terze parti precedenti alle patch rilasciate da Apple e dai rispettivi fornitori in risposta a specifiche divulgazioni di vulnerabilità. Consulta sempre gli aggiornamenti di sicurezza ufficiali di Apple e gli advisory dei fornitori per informazioni sulle versioni corrette.

Come Funziona Questo Strumento

Questo script esegue una serie di comandi log show utilizzando predicati accuratamente costruiti. Questi predicati sono progettati per filtrare la vasta quantità di informazioni nei log di sistema iOS e individuare potenziali indicatori di compromissione o attività anomale che potrebbero essere correlate a vulnerabilità di tipo "Airborne".

Lo script cerca:

• Crash o errori in processi di sistema critici coinvolti in AirPlay, streaming multimediale, scoperta di rete e comunicazione da dispositivo a dispositivo (ad esempio mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Errori registrati specificamente dal sottosistema AirPlay o dai servizi Bonjour/mDNS.
• Eventi di connessione di rete anomali (ad esempio, reset di connessione imprevisti, fallimenti di connessione) segnalati da processi rilevanti.
• Kernel panic, che possono indicare una grave instabilità del sistema potenzialmente causata da un exploit.
• Attività sospette relative ai profili di configurazione (come vettore generale di post-sfruttamento).
• Messaggi di violazione del sandbox, che potrebbero indicare un exploit che tenta di uscire dal suo ambiente ristretto.

L'output di ogni query viene salvato in un file di testo separato con nome descrittivo all'interno di una directory di risultati con timestamp, consentendo un'analisi mirata di diversi tipi di potenziali artefatti.

Prerequisiti

1. Ambiente macOS: L'utilità log show e questo script sono progettati per essere eseguiti su macOS.
2. Archivio log iOS (.logarchive): È necessario un archivio di log di sistema iOS (un bundle, che tecnicamente è una directory) dal dispositivo che si intende analizzare. Può essere ottenuto tipicamente tramite:
   • Xcode: Connetti il dispositivo iOS a un Mac, apri Xcode, vai su Window -> Devices and Simulators, seleziona il tuo dispositivo, quindi fai clic su "View Device Logs" e "Export".
   • sysdiagnose: Attiva un sysdiagnose sull'iPhone (di solito premendo contemporaneamente Volume Su + Volume Giù + Pulsante laterale, ma le combinazioni possono variare in base al modello e alla versione iOS). Dopo che sysdiagnose è stato generato (possono volerci diversi minuti), può essere inviato tramite AirDrop a un Mac o accessibile quando si sincronizza l'iPhone con un Mac (spesso presente in Finder nella posizione di sincronizzazione dell'iPhone all'interno di un file .tar.gz). Il .logarchive sarà all'interno del contenuto estratto di sysdiagnose.
3. Shell Bash: Lo script è scritto per bash.

Configurazione ed Esecuzione

1. Salva lo Script: Salva il codice dello script (fornito sopra) come airborne_artifact_extractor.sh (o qualsiasi altro nome con estensione .sh).

2. Rendilo Eseguibile: Apri il Terminale, vai alla directory in cui hai salvato lo script ed esegui il seguente comando:

   root@kitploit:~

   chmod +x airborne_artifact_extractor.sh
   

3. Controlla l'Attributo di Quarantena di macOS (Importante per script scaricati): Se hai scaricato questo script da Internet, macOS potrebbe metterlo in quarantena, impedendone l'esecuzione corretta o totale.

   • Per verificare se l'attributo di quarantena è impostato, esegui:
     root@kitploit:~

     xattr airborne_artifact_extractor.sh
     

   • Se l'output include com.apple.quarantine, rimuovi questo attributo eseguendo:
     root@kitploit:~

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   Se incontri ancora problemi nell'esecuzione dello script, specialmente se si trova in una directory come ~/Downloads, assicurati che il tuo Terminale abbia i permessi necessari (ad esempio "Accesso completo al disco" in Impostazioni di Sistema -> Privacy e Sicurezza) per accedere alla posizione dello script e all'archivio di log.

Risoluzione dei Problemi di Esecuzione

Interprete Errato o Errori ^M (ad esempio /bin/bash^M: bad interpreter: No such file or directory)

Se incontri un errore come bash: ./nome_script.sh: /bin/bash^M: bad interpreter: No such file or directory, /usr/bin/env: ‘bash\r’: No such file or directory, o messaggi simili che coinvolgono caratteri \r o ^M durante l'esecuzione dello script, è probabile che sia dovuto a terminazioni di riga in stile Windows (CRLF - Carriage Return Line Feed) invece che in stile Unix (LF - Line Feed).

Questo accade di solito se il file script è stato creato o modificato su un sistema Windows e poi trasferito su macOS o Linux senza convertire le terminazioni di riga. I sistemi Unix si aspettano solo LF come terminatore di riga e il carattere CR extra (\r o ^M) viene interpretato erroneamente come parte del percorso dell'interprete o dei comandi.

Soluzione: Converti le Terminazioni di Riga con dos2unix

Il modo più semplice per risolvere è usare l'utilità dos2unix.

1. Installa dos2unix:

   • Su macOS (usando Homebrew): Se non hai Homebrew, installalo prima da brew.sh. Poi esegui:

     root@kitploit:~

     brew install dos2unix
     

   • Su distribuzioni Linux basate su Debian/Ubuntu:

     root@kitploit:~

     sudo apt update
     sudo apt install dos2unix
     

   • Su distribuzioni Linux basate su Fedora/RHEL:

     root@kitploit:~

     sudo dnf install dos2unix # (o yum per versioni precedenti)
     

2. Converti il file script: Vai alla directory contenente airborne_artifact_extractor.sh ed esegui:

   root@kitploit:~

   dos2unix airborne_artifact_extractor.sh
   

   Questo comando convertirà le terminazioni di riga sul posto.

Soluzioni Alternative (se dos2unix non è disponibile/preferito):

• Usando sed:

  root@kitploit:~

  sed -i.bak 's/\r$//' airborne_artifact_extractor.sh
  

  (Questo comando modifica il file sul posto e crea un backup airborne_artifact_extractor.sh.bak. Su alcune versioni di sed, specialmente su macOS, l'opzione -i richiede un'estensione per il file di backup, come -i '.bak' o -i '' per nessun backup se supportato. Per macOS, potresti aver bisogno di sed -i '' 's/\r//g' airborne_artifact_extractor.sh)

• Usando tr:

  root@kitploit:~

  tr -d '\r' < airborne_artifact_extractor.sh > airborne_artifact_extractor_unix.sh
  chmod +x airborne_artifact_extractor_unix.sh
  # Poi usa airborne_artifact_extractor_unix.sh
  

• Editor di testo: La maggior parte degli editor di testo moderni (come VS Code, Sublime Text, Atom, Notepad++) permette di cambiare le terminazioni di riga. Apri il file script, trova l'impostazione per le terminazioni di riga (di solito nella barra di stato o nel menu File/Modifica) e cambiala da "CRLF" o "Windows" a "LF" o "Unix". Poi salva nuovamente il file.

Dopo aver convertito le terminazioni di riga, prova a eseguire di nuovo lo script. Ricorda anche di assicurarti che abbia i permessi di esecuzione (chmod +x airborne_artifact_extractor.sh).

Utilizzo

Esegui lo script dal Terminale, fornendo il percorso al bundle .logarchive e parametri opzionali per l'intervallo di tempo:

Argomenti:

Configurazione del fuso orario: Lo script include impostazioni del fuso orario all'inizio, che puoi modificare:

Esempi di comandi:

./airborne_artifact_extractor.sh /Volumi/ExternalHD/iOS_Logs/iPhone13_archive.logarchive

Analizza i log delle ultime 48 ore: Bash

./airborne_artifact_extractor.sh ./My_iPhone_Sysdiagnose.logarchive --last 48h

Analizza i log per un intervallo di data e ora specifico (le ore saranno interpretate secondo TZ_SETTING): Bash

File di Output

Lo script creerà una nuova directory denominata airborne_traces_AAAAMMGG_HHMMSS (dove AAAAMMGG_HHMMSS è la data e ora correnti) nella stessa directory dello script (o nella directory di lavoro corrente se la directory dello script non è scrivibile). All'interno di questa cartella troverai diversi file .txt, ciascuno contenente l'output di una query specifica. I nomi dei file sono prefissati con numeri per l'ordinamento:

Interpretazione dei Risultati

Contributi

Sentiti libero di fare il fork di questo repository, suggerire miglioramenti, segnalare problemi o aggiungere query più specifiche che potrebbero essere utili per identificare tracce di tali vulnerabilità.