Компания Cellebrite объявила о «взломе» защищённого мессенджера Signal — в ответ команда Signal взломала Cellebrite

И нашла много уязвимостей в программах Cellebrite, которыми пользуются спецслужбы по всему миру. А заодно и возможные нарушения авторских прав Apple.

Cellebrite — израильский разработчик ПО для взлома мобильных устройств, который сотрудничает со спецслужбами по всему миру. Например, с его помощью ФБР взломала iPhone террориста, а полиция КНР применяла их разработки во время акций протеста в Гонконге.

Флагманский продукт Cellebrite — программно-аппаратный комплекс UFED, с помощью которого можно извлечь данные из мобильного устройства. Чтобы анализировать полученные данные, Cellebrite использует второе приложение — Physical Analyzer.

В декабре 2020 года Cellebrite объявила о взломе защищенного мессенджера Signal и получении доступа к данным мессенджера в Physical Analyzer — но спустя несколько часов удалила фразы о взломе и оставила лишь «доступ к данным».

Представители мессенджера в ответ заявили, что Cellebrite не взламывает Signal или расшифровывает его данные. Чтобы получить доступ к Signal, инструментам Cellebrite нужно получить физический доступ к разблокированному смартфону. А приложение Physical Analyzer всего лишь в автоматическом режиме делает скриншоты приложения.

«Это не волшебство, это весьма посредственное корпоративное ПО», — высказались в Signal.

А в апреле 2021 года команда Signal сама взломала UFED и Physical Analyzer. По словам представителей мессенджера, они «нашли на дороге упавший с грузовика» полноценный программно-аппаратный комплекс компании и изучили его инструменты.

Специалисты обнаружили множество уязвимостей, которые позволяют получить полный доступ ко всем криминалистическим отчетам Cellebrite на компьютере и незаметно редактировать их.

Причем уязвимость позволяет редактировать не только те отчеты, что уже хранятся на ПК, но и вносить правки в будущих.

Вдобавок Signal выяснил, что компания нелегально использует библиотеки Apple. А также в шутливой форме объявил о защите пользователей мессенджера от инструментов Cellebrite в ближайшем будущем.

Signal описал принцип работы инструментов Cellebrite. Для использования Cellebrite нужно получить физический доступ к устройству и разблокировать его — инструменты не перехватывают данные и не могут следить за пользователем удалённо. И UFED, и Physical Analyzer написаны под Windows.

Разработчиков Signal поразило количество уязвимостей в Cellebrite — по их словам, в ПО нет стандартных отраслевых средств защиты от эксплойтов.

Один из примеров — их приложение использует библиотеки FFmpeg, выпущенные в 2012 году, хотя с тех пор для них было выпущено более сотни обновлений безопасности.

Инструменты извлекают из смартфона «ненадёжные» данные, которые контролируются и генерируются приложениями. Signal утверждает, что по этой причине у Cellebrite нет практически никаких ограничений на код, который может быть выполнен во время анализа файла.

Извлекаемые из устройства данные генерируются его приложениями — Cellebrite не понимает, какие данные «правильные», а какие нет.

Поэтому зная о том, какие уязвимости есть в ПО Cellebrite, можно «подсунуть» анализатору что угодно. Например, эксплойт, который получит полный доступ к компьютеру криминалиста и будет незаметно переписывать полученную информацию в пользу владельца смартфона.

Чтобы выполнить произвольный код на компьютере, достаточно одного файла в любом приложении, которое просканирует Cellebrite.

Signal показала пример эксплойта для UFED, который выполняет произвольный код во время сканирования устройства. Для демонстрации взлома он использует классический Windows API MessageBox для показа окошка с сообщением — но злоумышленники могут внедрить любой другой код.

Signal предлагает раскрыть конкретные найденные уязвимости, если Cellebrite опубликует информацию о других проблемах в своём ПО и будет публиковать в будущем.

Команда Signal также изучила установщик Physical Analyzer. Она обнаружила, что внутри него есть пакеты с цифровой подписью Apple, которые были извлечены из установщика iTunes для Windows. Они содержат библиотеки DLL, реализующие функции, которые iTunes использует для взаимодействия с iOS-устройствами.

Cellebrite использует библиотеки iTunes для извлечения данных с iOS-устройств. «Кажется маловероятным, что Apple дала лицензию на распространение и использование своих библиотек в продуктах Cellebrite», — отмечают разработчики Signal.

По их мнению, Apple может подать в суд как на саму Cellebrite, так и на пользователей её услуг.

В конце поста Signal анонсировала «совершенно не связанные с предыдущими абзацами новости» о том, что в новых версиях мессенджера будут периодически появляться некие файлы. Signal не будет их использовать, но зато «их много и они красиво выглядят».

«Красивые файлы» будут добавлены для небольшого количества активных пользователей и будут периодически обновляться. «Они просто эстетичны, другого значения они не имеют», — говорят в Signal.

#signal #взлом