Изследователи от групата Google Project Zero са открили уязвимост, която е една от най-големите в историята на платформата iOS. Злонамереният зловреден софтуер използва грешки в мобилния уеб браузър Safari.
Експертът на Google Project Zero Иън Биър обяснява всичко в своя блог. Никой не трябваше да избягва атаките този път. Беше достатъчно да посетите заразен уебсайт, за да се заразите.
Анализаторите от Threat Analysis Group (TAG) в крайна сметка откриха общо пет различни грешки, които присъстваха от iOS 10 до iOS 12. С други думи, нападателите можеха да използват уязвимостта поне две години, откакто тези системи бяха на пазара.
Зловредният софтуер използва много прост принцип. След като посетите страницата, във фонов режим се изпълнява код, който лесно се прехвърля на устройството. Основната цел на програмата беше да събира файлове и да изпраща данни за местоположение на интервали от една минута. И тъй като програмата се копира сама в паметта на устройството, дори такива iMessages не са безопасни от нея.
TAG заедно с Project Zero откриха общо четиринадесет уязвимости в пет критични пропуска в сигурността. От тях цели седем бяха свързани с мобилното Safari в iOS, други пет с ядрото на самата операционна система, а два дори успяха да заобиколят sandboxing. По време на откриването не е била коригирана уязвимост.
Експертите от Project Zero съобщиха за Грешките на Apple и им даде седем дни според правилата до публикуване. Компанията беше уведомена на 1 февруари и компанията поправи грешката в актуализация, пусната на 9 февруари в iOS 12.1.4.
Серията от тези уязвимости е опасна с това, че нападателите могат лесно да разпространят кода през засегнатите сайтове. Тъй като всичко, което е необходимо за заразяване на устройство, е да се зареди уебсайт и да се изпълняват скриптове във фонов режим, почти всеки беше изложен на риск.
Всичко е обяснено технически в английския блог на групата Google Project Zero. Постът съдържа изобилие от подробности и подробности. Удивително е как обикновен уеб браузър може да действа като портал към вашето устройство. Потребителят не е принуден да инсталира нищо.
Следователно сигурността на нашите устройства не е добре да се отнасяме с лека ръка.
Петър Шкута 
Дейвид Ханак 
