31/07/2026
Continuiamo il racconto della catena checkm8-like su A12 iniziato pochi giorni fa. Se lo stadio uno - l'exploit che porta il dispositivo in - è la porta d'ingresso, questo passaggio è la stanza successiva: il boot di un ramdisk SSH controllato dall'operatore, con sessione root aperta sul dispositivo e filesystem montati.
Cosa abbiamo fatto:
⚙️ Costruito e verificato l'intero bootchain firmato con IM4M generico A12: patchato in due punti, kernel patchato con le due patch AMFI + debugger del "Leeksov finder", ramdisk custom con dropbear iniettato, DeviceTree, trustcache e firmware dei coprocessori estratti dall'IPSW ufficiale Apple 18.7.9 (build 22H355). Per la costruzione del bootchain ci siamo basati sul progetto open source ICH_A12_plus_Ramdisk di Pa7r0n, che automatizza la fase di build per A12/A13 e iOS 17-27;
🚀 Boot completo tethered dell'iPhone XS con l'iBoot patchato e il kernel patchato, senza modifiche persistenti alla memoria flash del dispositivo (al primo reboot il device torna esattamente alla condizione di partenza);
💻 Sessione aperta come , filesystem montati via mount_ich, verifica della struttura dei volumi (System sealed, Data con flag protect, Preboot, xART) e conferma che Data Protection è attiva at rest come da specifica Apple.
Cosa possiamo ottenere adesso:
📊 Nella configurazione attuale la nostra postazione è in grado di eseguire un'acquisizione (Before First Unlock) del dispositivo: file di classe D leggibili in chiaro - struttura del sistema, log, database diagnostici, cache condivise e alcuni database applicativi non protetti - copiabili bit-a-bit via SSH.
È lo stesso livello di accesso che gli strumenti commerciali di acquisizione full file system offrono in modalità BFU: risultato utile per una parte rilevante dei casi reali (dati di sistema, log applicativi, artefatti di rete, ricostruzione di sequenze temporali).
Cosa non escludiamo - dialogo con il Secure Enclave:
🛡️ L'accesso ai file di classe A, B e C (database delle app di terze parti, attachment, keychain) richiede la comunicazione con il Secure Enclave dal kernel patchato via IOKit AppleSEPKeyStore, fornendo la password del dispositivo - quando questa è nota all'operatore per legittimo consenso del titolare o autorizzazione del collegio giudicante.
Non è una capacità che possediamo oggi in laboratorio, ma non è ricerca esplorativa: è ingegneria mirata sopra una base già consolidata, con margine di tuning ragionevole. Il progetto pubblico usbliter8-fun documenta una catena end-to-end funzionante su iPhone 11 Pro con iOS 27 beta che include il dialogo con il e il boot del sistema completo: conferma pratica che l'approccio è consolidato.
Continueremo a documentare le attività svolte in laboratorio e vi segnaliamo che nel primo commento potete trovare l'analisi tecnica completa sul nostro sito.