Google виявив шкідливі веб-сайти, які використовуються для взломання а

Apple любить говорити про свою увагу на безпеку та конфіденційність, але власники iPhone невідомо були об'єктами безрозбірливої та жорстокої хакерської кампанії принаймні два роки. Команда Google Project Zero розкрила схему, яка використовувала веб-сайти, завантажені з незапущеними подвигами, для встановлення шкідливих програм на iPhone, які могли відслідковувати місцезнаходження користувачів, красти файли тощо. Apple усунула недоліки після того, як вони надійшли, але ми лише зараз з'ясовуємо масштаб атаки.

За даними Google, його дослідники виявили шкідливі веб-сайти на початку 2019 року. В даний час команда вважає, що мережа хакерських сайтів працює більше двох років, привертаючи тисячі відвідувачів на тиждень. Користувачі iPhone, які відвідували ці сторінки, не підозрюють, що зловмисне програмне забезпечення працює як корінь на своїх пристроях - це найвищий рівень привілей на програмне забезпечення, якого навіть власник пристрою не має на iOS.

Дослідники Project Zero виявили п'ять різних ланцюгів експлуатації в дикій природі, використовуючи 12 різних недоліків безпеки. У семи з них задіяний движок браузера Safari, яким навіть сторонні браузери повинні користуватися. Це було спрямовано не лише на архаїчну версію iOS. Атаки охоплювали майже кожну версію iOS 10 через найновішу версію iOS 12. Після імплантації шкідливого програмного забезпечення на iPhone, зловмисники могли відслідковувати місцезнаходження користувачів, копіювати фотографії та навіть отримувати доступ до зберігання паролів на пристрої користувача.

Знову ж таки, це все відбувається безшумно у браузері. Незважаючи на те, що зловмисний код вискакує в додатках для Android та iOS, це набагато серйозніше, оскільки зловмисникам не потрібно підманювати користувачів нічого встановлювати. Давно минуло так, як хакі, що базуються на нульових днях, з'явилися в дикій природі. Багато років тому були веб-сайти, які можна було відвідати, які використовували подвиги, щоб миттєво втекти з iPhone в'язниці. Сучасні практики безпеки закінчилися легким злому браузера, або так ми думали.

Google повідомив про недоліки приватно Apple в лютому, але він дав Apple лише тиждень, щоб розгорнути патчі. Це набагато коротше, ніж звична 90-денна хроніка розкриття інформації. Це доводить додому серйозність нападу. Мало того, що вплив на користувачів сильний, але й зловмисники також активно заражали тисячі телефонів на тиждень. Apple випустила оновлення (iOS 12.1.4) через шість днів, щоб виправити недоліки.

Якщо у всьому цьому є якась яскрава пляма, схоже, що нападники не мали певної цілі. Їх жертвами хтось не пощастив, щоб натиснути на шкідливе веб-посилання. Поки ця діра забита, кампанія тривала протягом двох років. Зараз у дикій природі можуть бути інші активні подвиги, про які ніхто з представників безпеки не знає.