Дата: 02-09-19 11:45ТЕХНОЛОГИИ: Уязвимость в iOS два года позволяла слить пароли и фотографии с iPhone после посещения сайта![]() Фото: @chrisvelazco / Twitter Исследователи в области информационной безопасности из Google Project Zero обнаружили группу сайтов с кодом, позволяющим через браузер устанавливать на iPhone программу, получающую root-права и загружающую на сервера злоумышленников конфиденциальные данные, в том числе пароли, данные местоположения и фотографии. Злоумышленники разработали по меньшей мере пять атак, основанных на 14 уязвимостях, причем они были активны на протяжении более чем двух лет, и одна из них работала на текущей версии iOS 12 вплоть до обнаружения. На момент публикации все уязвимости были устранены обновлениями безопасности. В области информационной безопасности существует понятие уязвимости нулевого дня (0-day). Оно подразумевает, что злоумышленники используют уязвимость в программном обеспечении, о существовании которой пока неизвестно ни разработчикам, ни широкой публике. Эти уязвимости считаются наиболее опасными, потому что у разработчиков нет возможности своевременно разработать защиту от них. У Google есть специальное исследовательское подразделение Project Zero, занимающееся именно поиском таких уязвимостей и оповещающее разработчиков об их существовании.
Исследователи обнаружили небольшую группу взломанных злоумышленниками сайтов, содержащих код для взлома iPhone через браузер Safari. Технически уязвимости были подвержены и другие браузеры, а также iPad, потому что в iOS разработчики могут использовать только системный движок WebKit, однако исследователи отмечают, что атаки были нацелены именно на iPhone и Safari. Всего исследователи обнаружили 14 уязвимостей, использованных злоумышленниками. Семь из них были нацелены на веб-движок WebKit, пять на ядро iOS, а еще две обходили механизмы песочницы (изолированной среды исполнения приложений). Они были организованы в пять цепочек — наборов из уязвимостей, которые вместе позволяют запускать на iPhone вредоносную программу под правами суперпользователя, что по сути позволяет ей делать что угодно и получать доступ к практически любым данным. Каждая из цепочек была нацелена на определенные версии iOS. Первая из них была нацелена на версии с 10.0.1 по 10.1.1 и, по-видимому, была активна с сентября 2016 года. Последняя из них работает с версиями операционной системы с 11.4.1 по 12.1.2. ![]() Устройства и версии iOS, подверженные цепочкам уязвимостей Google Project Zero Исследователи выяснили, что вредоносная программа активируется каждую минуту и пересылает на сервера злоумышленников данные популярных мессенджеров, таких как WhatsApp, iMessage и Telegram, причем в расшифрованном виде. Кроме того, она пересылает все фотографии из галереи и местоположение, а также копирует пароли и ключи из встроенного в iOS менеджера паролей «Связка ключей», что позволяет злоумышленникам получать доступ к множеству аккаунтов пользователей. ![]() Пример данных из мессенджера Telegram, передаваемых на сервер злоумышленников Google Project Zero Авторы исследования отмечают, что все обнаруженные уязвимости уже исправлены Apple, а кроме того, они бесполезны против устройств на базе процессора A12 (iPhone XS и XR), потому что в нем Apple применила новую защиту от атак на JIT-компилятор. Тем не менее, они выразили обеспокоенность, что на протяжении как минимум двух лет неизвестная группа хакеров использовала такие серьезные уязвимости, нацеленные на широкую аудиторию. Google Project Zero уже не в первый раз обнаруживает масштабные критические уязвимости. В январе 2018 года вместе с другими группами исследователей они раскрыли информацию об уязвимостях Meltdown и Spectre, хотя бы части из которых оказались подвержены почти все современные процессоры. Их исправление привело к снижениюпроизводительности компьютеров, нестабильности драйверов и даженевозможности запустить некоторые компьютеры. Григорий Копиев Источник информации: N+1 |
Перепечатка материалов разрешается только при наличии гиперссылки на
www.aviation.com.ua Перепечатка, копирование, воспроизведение или иное использование материалов, в которых содержится ссылка на агентства УНИАН, Iнтерфакс-Україна, строго запрещено. Позиция администрации может не совпадать с мнениями авторов, публикующих статьи. |