Ερευνητές από την ομάδα Google Project Zero ανακάλυψαν μια ευπάθεια που είναι μια από τις μεγαλύτερες στην ιστορία της πλατφόρμας iOS. Το κακόβουλο κακόβουλο λογισμικό εκμεταλλεύτηκε σφάλματα στο κινητό πρόγραμμα περιήγησης ιστού Safari.
Ο ειδικός του Google Project Zero Ian Beer εξηγεί τα πάντα στο blog του. Κανείς δεν χρειάστηκε να αποφύγει τις επιθέσεις αυτή τη φορά. Αρκούσε να επισκεφτείς έναν μολυσμένο ιστότοπο για να μολυνθείς.
Οι αναλυτές από την Ομάδα Ανάλυσης Απειλών (TAG) ανακάλυψαν τελικά συνολικά πέντε διαφορετικά σφάλματα που υπήρχαν από το iOS 10 έως το iOS 12. Με άλλα λόγια, οι εισβολείς μπορούσαν να χρησιμοποιήσουν την ευπάθεια για τουλάχιστον δύο χρόνια από τότε που αυτά τα συστήματα ήταν στην αγορά.
Το κακόβουλο λογισμικό χρησιμοποιούσε μια πολύ απλή αρχή. Μετά την επίσκεψη στη σελίδα, έτρεξε ένας κώδικας στο παρασκήνιο που μεταφέρθηκε εύκολα στη συσκευή. Ο κύριος σκοπός του προγράμματος ήταν η συλλογή αρχείων και η αποστολή δεδομένων τοποθεσίας σε διαστήματα ενός λεπτού. Και αφού το πρόγραμμα αντιγράφηκε στη μνήμη της συσκευής, ούτε καν τέτοια iMessages δεν ήταν ασφαλή από αυτό.
Το TAG μαζί με το Project Zero ανακάλυψαν συνολικά δεκατέσσερα τρωτά σημεία σε πέντε κρίσιμα ελαττώματα ασφαλείας. Από αυτά, τα επτά σχετίζονταν με το Safari για κινητά στο iOS, άλλα πέντε με τον πυρήνα του ίδιου του λειτουργικού συστήματος και δύο κατάφεραν να παρακάμψουν το sandboxing. Κατά τη στιγμή της ανακάλυψης, καμία ευπάθεια δεν είχε επιδιορθωθεί.
Οι ειδικοί από το Project Zero αναφέρθηκαν Λάθη της Apple και τους έδωσε επτά ημέρες σύμφωνα με τους κανόνες μέχρι τη δημοσίευση. Η εταιρεία ειδοποιήθηκε την 1η Φεβρουαρίου και η εταιρεία διόρθωσε το σφάλμα σε μια ενημέρωση που κυκλοφόρησε στις 9 Φεβρουαρίου στο iOS 12.1.4.
Η σειρά αυτών των τρωτών σημείων είναι επικίνδυνη καθώς οι εισβολείς θα μπορούσαν εύκολα να διαδώσουν τον κώδικα μέσω των επηρεαζόμενων τοποθεσιών. Δεδομένου ότι το μόνο που χρειάζεται για να μολύνει μια συσκευή είναι να φορτώσει έναν ιστότοπο και να εκτελέσει σενάρια στο παρασκήνιο, σχεδόν όλοι κινδύνευαν.
Όλα εξηγούνται τεχνικά στο αγγλικό ιστολόγιο της ομάδας Google Project Zero. Η ανάρτηση περιέχει πολλές λεπτομέρειες και λεπτομέρειες. Είναι εκπληκτικό πώς ένα απλό πρόγραμμα περιήγησης ιστού μπορεί να λειτουργήσει ως πύλη στη συσκευή σας. Ο χρήστης δεν αναγκάζεται να εγκαταστήσει τίποτα.
Ως εκ τούτου, η ασφάλεια των συσκευών μας δεν είναι καλό να λαμβάνεται σοβαρά υπόψη.
Petr Škuta 
Ντέιβιντ Χανάκ 
