Vulnerabilidades "Airborne" do iOS - Extrator de Artefatos de Log

Este script foi projetado para ajudar a identificar possíveis vestígios do conjunto de vulnerabilidades "Airborne" (que afetam principalmente o protocolo AirPlay da Apple) consultando os logs do sistema iOS de um pacote .logarchive. Ele automatiza a execução de vários comandos log show adaptados para encontrar anomalias que poderiam estar associadas a essas vulnerabilidades.

Aviso legal: Esta ferramenta destina-se apenas a fins informativos e investigativos. A presença de entradas de log correspondentes a essas consultas não confirma definitivamente uma invasão. As entradas de log devem ser analisadas em contexto. A ausência de resultados não garante que um dispositivo esteja seguro. Sempre certifique-se de que seus dispositivos estejam atualizados para as versões mais recentes do sistema operacional.

Sobre o Autor e o Projeto

Este script foi desenvolvido por Anton Shustikov ([email protected] — atualmente ceo da cakescats) como parte do projeto CakesCats.

CakesCats é uma iniciativa focada em:

• Educação em Segurança da Informação: Visando tornar os conceitos de cibersegurança mais acessíveis e compreensíveis.
• Suporte: Oferecendo suporte gratuito a ativistas e pessoas que enfrentam situações difíceis relacionadas à segurança digital.
• Produtos Simples e Claros: Desenvolvendo ferramentas e recursos simples e diretos para segurança e proteção digital.

Anton Shustikov é consultor de segurança da informação e fintech com vasta experiência na criação de sistemas de segurança. Ele é o fundador do projeto educacional sem fins comerciais CakesCats e contribui com artigos para publicações como Forbes e a revista "Xakep". Seu trabalho frequentemente envolve investigar ameaças digitais e promover higiene digital.

Sobre as Vulnerabilidades "Airborne"

"Airborne" é um nome dado a um conjunto de vulnerabilidades (descobertas pela Oligo Security em sua pesquisa original) que afetam o protocolo AirPlay da Apple e o Kit de Desenvolvimento de Software (SDK) do AirPlay. Essas vulnerabilidades podem impactar uma ampla gama de dispositivos Apple (iPhones, iPads, Macs, Apple TV, etc.) e dispositivos de terceiros que usam o SDK do AirPlay (por exemplo, caixas de som inteligentes, receptores).

Principais aspectos das vulnerabilidades do tipo "Airborne":

• Contexto da Descoberta: A pesquisa original da "Airborne" foi publicada pela Oligo Security (Mais detalhes: https://www.oligo.security/blog/airborne). Este script foi projetado para procurar artefatos forenses gerais que poderiam estar relacionados a tais vulnerabilidades.
• Protocolos/Componentes Afetados: Principalmente o Apple AirPlay, mas também serviços relacionados como Bonjour (mDNS) e rapportd, que lida com a comunicação dispositivo a dispositivo.
• Impacto Potencial: Execução Remota de Código (RCE) (incluindo variantes zero-click e potencialmente propagáveis), Negação de Serviço (DoS), bypass de Lista de Controle de Acesso (ACL), divulgação de informações e ataques Man-in-the-Middle (MITM).
• CVEs (Exemplos Contextuais): Embora números de CVE específicos mudem a cada nova descoberta, a classe de vulnerabilidades "Airborne" visa falhas na forma como o AirPlay e serviços de rede relacionados lidam com dados, pareamento ou conexões. Por exemplo, discussões hipotéticas anteriores para esta ferramenta consideraram CVEs como CVE-2025-24252 (relacionado a problemas de mDNS) ou CVE-2025-24132 (relacionado a estouros de buffer no SDK do AirPlay). Os usuários devem sempre consultar os detalhes específicos de CVE e os avisos dos fornecedores para as vulnerabilidades que estão investigando.
• Versões de SO Afetadas (Orientação Geral): Normalmente, versões de iOS, iPadOS, macOS, tvOS e SDKs AirPlay de terceiros anteriores aos patches lançados pela Apple e respectivos fornecedores em resposta a divulgações específicas de vulnerabilidades. Consulte sempre as atualizações de segurança oficiais da Apple e os avisos dos fornecedores para obter informações sobre versões corrigidas.

Como Esta Ferramenta Funciona

Este script executa uma série de comandos log show usando predicados cuidadosamente elaborados. Esses predicados são projetados para filtrar a vasta quantidade de informações nos logs do sistema iOS a fim de identificar possíveis indicadores de comprometimento ou atividade anômala que possa estar relacionada a vulnerabilidades do tipo "Airborne".

O script procura por:

• Falhas ou erros em processos críticos do sistema envolvidos em AirPlay, streaming de mídia, descoberta de rede e comunicação dispositivo a dispositivo (por exemplo, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Erros registrados especificamente pelo subsistema AirPlay ou pelos serviços Bonjour/mDNS.
• Eventos anômalos de conexão de rede (por exemplo, redefinições inesperadas de conexão, falhas de conexão) relatados pelos processos relevantes.
• Panics do kernel, que podem indicar instabilidade grave do sistema potencialmente causada por um exploit.
• Atividade suspeita relacionada a perfis de configuração (como um vetor geral de pós-exploração).
• Mensagens de violação de sandbox, que podem indicar um exploit tentando escapar de seu ambiente restrito.

A saída de cada consulta é salva em um arquivo de texto separado, com nome descritivo, dentro de um diretório de resultados com registro de data e hora, permitindo uma análise focada de diferentes tipos de artefatos potenciais.

Pré-requisitos

1. Ambiente macOS: O utilitário log show e este script foram feitos para serem executados no macOS.
2. Arquivo de Log do iOS (.logarchive): Você precisa de um arquivo de log do sistema iOS (um pacote, que tecnicamente é um diretório) do dispositivo que pretende analisar. Isso normalmente pode ser obtido por meio de:
   • Xcode: Conecte o dispositivo iOS a um Mac, abra o Xcode, vá em Window -> Devices and Simulators, selecione seu dispositivo e clique em "View Device Logs" e "Export".
   • sysdiagnose: Dispare um sysdiagnose no iPhone (geralmente pressionando simultaneamente os botões de Volume Up + Volume Down + Side, mas as combinações podem variar de acordo com o modelo e a versão do iOS). Depois que o sysdiagnose é gerado (pode levar vários minutos), ele pode ser enviado via AirDrop para um Mac ou acessado ao sincronizar o iPhone com um Mac (frequentemente encontrado no Finder, no local de sincronização do iPhone, dentro de um arquivo .tar.gz). O .logarchive estará dentro do conteúdo extraído do sysdiagnose.
3. Bash Shell: O script foi escrito para bash.

Configuração e Execução

1. Salve o Script: Salve o código do script (fornecido acima) como airborne_artifact_extractor.sh (ou qualquer outro nome com extensão .sh).

2. Torne-o Executável: Abra o aplicativo Terminal, navegue até o diretório onde você salvou o script e execute o seguinte comando:

   chmod +x airborne_artifact_extractor.sh