Как можно следить за кем угодно через сеть Find My iPhone

[KrevetO4ka]

Сеть Find My от Apple может применяться для дистанционной слежки за гаджетами других производителей под управлением Android, Windows и Linux.


Метки AirTag стали одним из самых популярных инструментов слежки, которыми пользуются не только легитимные владельцы, забывшие ключи на работе, но и ревнивые супруги, угонщики автомобилей и другие люди с недобрыми намерениями. Реализация крайне проста — брелок тайно подкладывают жертве слежки и с комфортом следят за ее перемещениями через сервис Apple Find My. Мы даже включили защиту от слежки через AirTag в Android-версию решений Kaspersky.

Но недавно исследователи безопасности опубликовали исследование, которое демонстрирует, что для дистанционной слежки можно не тратиться на AirTag и даже… никогда не приближаться к жертве! Если удастся заразить ее компьютер или смартфон под управлением Android, Windows или Linux особым вредоносным ПО, то зловред сможет посылать через Bluetooth-адаптер этого устройства специальный сигнал, который будет определяться любыми устройствами Apple поблизости как сигнал от AirTag. Иными словами, для Apple-устройств зараженный смартфон или компьютер превращается в… гигантский AirTag, и его можно отслеживать через сеть Find My, в которую входит более миллиарда смартфонов и планшетов Apple.

 

[KrevetO4ka]

Анатомия атаки
Атака эксплуатирует две особенности технологии Find My.

Во-первых, в этой сети используется сквозное шифрование, и участники не знают, чьи сигналы они передают. Брелок AirTag и смартфон владельца применяют пару криптографических ключей при обмене информацией. Когда утерянный брелок транслирует по Bluetooth свои позывные, «детекторы» сети Find My (это любые устройства Apple с Bluetooth и связью с Интернетом, неважно чьи) просто передают данные на серверы Apple, используя публичный ключ найденного AirTag для шифрования данных геолокации. Далее зашифрованную информацию о местоположении с сервера может запросить любое устройство: за счет шифрования Apple тоже не знает, кому принадлежит данный сигнал и что за устройство его запросило. Хитрость в том, что расшифровать данные и понять, чей же это AirTag и где конкретно он находится, можно, только зная парный приватный ключ. Поэтому эти данные полезны только владельцу смартфона, сопряженного с данной меткой AirTag.

Вторая особенность Find My — «детекторы» не проверяют, что полученный ими сигнал о местоположении подан именно устройством Apple. Его может транслировать любое устройство с поддержкой Bluetooth Low Energy (BLE).

Чтобы злоупотребить этими особенностями, исследователи разработали следующую схему.

Вредоносное ПО устанавливается на компьютер, смартфон или другое устройство под управлением Android, Windows или Linux и получает информацию об адресе Bluetooth-адаптера, встроенного в гаджет.
Информация передается на сервер атакующих, где с помощью мощных видеокарт вычисляется пара ключей шифрования, соответствующих Bluetooth-адресу устройства и совместимых с технологией Find My.
Вычисленный публичный ключ передается обратно на зараженное устройство, и зловред начинает транслировать через Bluetooth сообщение, аналогичное сигналам AirTag и содержащее этот ключ.
Любое подключенное к Интернету устройство Apple, находящееся поблизости, принимает этот сигнал и передает его на серверы Find My.
Сервер злоумышленников использует вычисленный приватный ключ, чтобы запрашивать у сервиса Find My местоположение зараженного устройства и расшифровывать эти данные.

 

[KrevetO4ka]

Насколько эффективна слежка
Точность и скорость определения местоположения сильно зависят от того, насколько много вокруг жертвы устройств Apple и с какой скоростью перемещается жертва. В типичных городских условиях, дома или в офисе, местоположение определяется за 6–7 минут с точностью около 3 метров. Но даже в довольно экстремальных условиях, например в авиаперелете, трекинг остается возможен благодаря повсеместному распространению Интернета в самолетах. Так, исследователи смогли получить 17 точек геолокации в течение полуторачасового авиаперелета и довольно точно восстановить маршрут самолета.

Разумеется, успех всей атаки зависит от того, можно ли заразить жертву вредоносным ПО и на какой платформе проходит атака. Из-за особенностей реализации Bluetooth на Linux-устройствах достаточно заразить один только гаджет жертвы, а вот на Android и Windows применяется рандомизация адресов Bluetooth, поэтому для атаки нужно будет заразить два находящихся поблизости Bluetooth-устройства: одно будет предметом слежки — тем самым маячком, а второе нужно для считывания адреса Bluetooth-адаптера первого гаджета.

Вредоносное приложение должно иметь права доступа к Bluetooth, но получить их несложно — благовидный предлог для доступа есть у многих категорий приложений, например аудио- и видеоплееров, систем обмена файлам и даже платежных приложений. Стоит ожидать, что для проведения такой атаки будет изготовлено убедительное и реально работающее приложение-приманка или даже троянизировано уже существующее приложение. Административных прав и root-доступа для атаки не требуется.

Важно отметить, что речь идет не только о смартфонах и компьютерах: Android и Linux широко применяются в смарт-ТВ, очках виртуальной реальности и других бытовых устройствах — атака работает на большинстве из них.

Еще один важный компонент атаки — вычисление криптографических ключей на сервере. Это достаточно сложная операция, для которой нужно арендовать мощности с современными видеокартами, поэтому подбор ключа для одной жертвы обойдется примерно в $2,2. Исходя из этого, мы оцениваем сценарии массовых атак для слежки, например, за посетителями торгового центра, как маловероятные. А вот целевые атаки такой стоимости посильны абсолютно всем — от мошенников до любопытных сослуживцев и супругов.

 

[KrevetO4ka]

Реакция Apple
Компания выпустила патчи, устраняющие этот дефект сети Find My, в декабре 2024 года, в версиях iOS 18.2, visionOS 2.2, iPadOS 17.7.3 (для старых устройств) и 18.2 (для более новых), watchOS 11.2, tvOS 18.2, macOS Ventura 13.7.2, macOS Sonoma 14.7.2 и macOS Sequoia 15.2. К сожалению, как обычно у Apple, суть патчей неизвестна. Авторы исследования предупреждают, что до тех пор, пока все пользователи техники Apple не обновят свои устройства как минимум до вышеуказанных версий, этот метод слежки будет технически возможен, просто в ней станут участвовать меньше устройств. И нельзя исключать, что «заплатку» Apple удастся обойти каким-то дополнительным техническим трюком.

 

[KrevetO4ka]

Как защититься от атаки
Отключайте Bluetooth, когда он не нужен, если ваше устройство это допускает.
Устанавливайте приложения только из надежных источников, убедившись, что приложение существует достаточно давно, имеет большое количество загрузок и высокий рейтинг последней версии приложения.
Не давайте приложениям разрешения на доступ к Bluetooth и геолокации, если не уверены, что эта функция приложения вам нужна.
Регулярно обновляйте свое устройство — ОС и основные приложения.
Обязательно используйте полноценную защиту от вредоносного ПО на всех устройствах.