Signal svela vulnerabilità del tool di Cellebrite

Cellebrite aveva annunciato a dicembre una versione aggiornata del software Physical Analyzer che permette di accedere ai dati di Signal. Moxie Marlinspike, sviluppatore della famosa app di messaggistica, ha ora deciso di vendicarsi svelando le vulnerabilità del tool venduto dall’azienda israeliana a vari governi, inclusi quelli più autoritari e repressivi.

La vendetta va servita fredda

Cellebrite offre due software che consentono di estrarre i dati dai dispositivi Android e iOS. UFED crea un backup su un computer Windows, mentre Physical Analyzer analizza il backup e visualizza i dati in forma leggibile. Marlinspike afferma di aver trovato casualmente uno zaino con il kit completo di Cellebrite (software e adattatori vari), ma probabilmente è stato acquistato.

Il software di Cellebrite sfrutta le vulnerabilità del sistema operativo installato sul dispositivo. Marlinspike ha scoperto diverse vulnerabilità in UFED e Physical Analyzer che permette di eseguire codice infetto sul computer Windows usato per analizzare i dispositivi. Una di esse è presente nelle DLL di FFmpeg che non sono state aggiornate dal 2012.

È possibile includere un file particolare in ogni app installata sul dispositivo per modificare tutti i report (passati, presenti e futuri) generati dalla scansione effettuata dal software di Cellebrite, aggiungendo o rimuovendo documenti, foto, video, contatti e altri dati. In pratica l’analisi del dispositivo viene completamente falsata.

In un video condiviso su Twitter viene mostrato un exploit per UFED che usa MessageBox Windows API per visualizzare una finestra con un semplice messaggio, ma è possibile eseguire qualsiasi codice.

Our latest blog post explores vulnerabilities and possible Apple copyright violations in Cellebrite's software:

"Exploiting vulnerabilities in Cellebrite UFED and Physical Analyzer from an app's perspective"https://t.co/DKgGejPu62 pic.twitter.com/X3ghXrgdfo

— Signal (@signalapp) April 21, 2021

Marlinspike afferma che divulgherà tutti i dettagli delle vulnerabilità, solo se Cellebrite farà lo stesso per le vulnerabilità sfruttate per estrarre i dati dai dispositivi. Il creatore di Signal ha inoltre scoperto che Physical Analyzer usa le DLL di iTunes, quindi è molto probabile una violazione di copyright.