Spyware-ul care poate ascunde activitatea camerei și microfonului pe iPhone: cum păcălește Predator indicatorii iOS

Un nou raport tehnic arată că spyware-ul Predator, dezvoltat de compania de supraveghere Intellexa, reușește să dezactiveze în mod invizibil indicatorii vizuali ai camerei și microfonului pe iPhone, permițând astfel înregistrarea utilizatorilor fără ca aceștia să observe.

Mecanismul nu presupune exploatarea unei vulnerabilități clasice din iOS, ci folosirea unui acces la nivel de kernel obținut anterior. Practic, malware-ul intervine direct în modul în care sistemul afișează notificările de activitate pentru senzori, mascând complet utilizarea camerei și a microfonului, scrie Bleeping Computer.

Cum ocolește Predator sistemul de protecție introdus în iOS 14

Începând cu iOS 14, Apple a introdus un sistem simplu, dar eficient, de avertizare: un punct verde apare atunci când camera este activă, iar unul portocaliu indică folosirea microfonului. Ideea era să ofere utilizatorilor transparență imediată privind aplicațiile care accesează senzori sensibili.

Cercetătorii de la Jamf au analizat mostre din spyware-ul Predator și au descoperit că acesta „agață” (hook) un element central din interfața iOS, SpringBoard, responsabil pentru afișarea indicatorilor.

Concret, malware-ul interceptează metoda internă care notifică sistemul că un senzor a fost activat. De fiecare dată când camera sau microfonul pornesc, iOS trimite un semnal către componenta responsabilă cu afișarea punctului verde sau portocaliu. Predator oprește acest semnal înainte să ajungă la nivelul interfeței grafice.

Tehnic, spyware-ul anulează obiectul care agregă datele despre activitatea senzorilor (SBSensorActivityDataProvider). În mediul Objective-C, apelurile către un obiect nul sunt ignorate fără erori vizibile. Rezultatul: sistemul nu mai procesează evenimentul, iar indicatorul nu apare deloc.

Un singur hook este suficient pentru a bloca atât notificările camerei, cât și pe cele ale microfonului.

Vezi și:

iPhone 18 Pro, dezvăluit în imagini scăpate pe internet. Detaliul care atrage toate privirile

Cum faci screen mirroring de pe iPhone pe televizor: ghid simplu ca să vezi totul pe ecran mare

Acces la cameră fără permisiuni și urme greu de observat

Raportul mai arată că Predator folosește un modul separat pentru a activa camera, identificând funcții interne prin analiză de tip pattern matching pe instrucțiuni ARM64 și redirecționare prin Pointer Authentication Code (PAC). Această tehnică îi permite să ocolească verificările obișnuite de permisiuni.

Interesant este că cercetătorii au găsit și cod neutilizat care ar fi încercat să intercepteze direct managerul indicatorilor de înregistrare (SBRecordingIndicatorManager). Se pare însă că dezvoltatorii au renunțat la această abordare, preferând metoda mai eficientă de interceptare „în amonte”, la nivelul datelor despre senzori.

În cazul înregistrărilor VoIP, spyware-ul nu are un mecanism dedicat de suprimare a indicatorilor, dar profită de aceeași funcție centrală pentru a rămâne ascuns.

Pentru utilizatorul obișnuit, activitatea rămâne complet invizibilă. Fără punctul verde sau portocaliu în bara de stare, nu există niciun semn evident că dispozitivul transmite imagine sau sunet.

Totuși, analiza tehnică poate dezvălui urme: mapări neobișnuite de memorie, porturi de excepție suspecte în procese precum SpringBoard sau mediaserverd, hook-uri bazate pe breakpoint și fișiere audio salvate în locații atipice.

Predator este asociat cu Intellexa și a fost livrat în trecut prin exploatarea unor vulnerabilități zero-day din ecosistemul Apple și din browserul Chrome, inclusiv prin metode de infectare fără interacțiune (0-click).

În momentul redactării raportului, Apple nu a oferit un comentariu oficial privind aceste descoperiri.

Cazul ridică din nou problema echilibrului dintre măsurile de confidențialitate vizibile pentru utilizator și capacitatea actorilor avansați de a le ocoli odată ce obțin acces profund în sistem. Indicatorii vizuali pot crea un sentiment de siguranță, dar acest episod arată că, în fața unui atac sofisticat, transparența la nivel de interfață nu este întotdeauna suficientă.

Volan care revine greu după viraj: geometrie, capete de bară sau coloană, cum interpretezi simptomul