Google твърди, че дупки в сигурността на iPhone позволяват на уеб сайтове да ги използват от години

Изследователите информационния проект по сигурност Google Project Zero разкриха, че са открили няколко хакерски уебсайта, които години наред разпространявали злонамерен софтуер за iPhone на всеки желаещ. Ако някой потребител с iPhone посети тези уебсайтове, неговите съобщения, снимки и данни за местоположението биха могли да бъдат компрометирани. Екипът съобщава за своите критични открития на Apple по-рано тази година, а уязвимостта е свързана със същата актуализация, която отстрани грешката за подслушване от FaceTime.

„Няма някаква определена цел – просто посещението на хакерския уеб сайт е достатъчно за да атакува сървърът вашето устройство и успешно да внедри софтуерен шпионин на устройството ви. Ние смятаме, че тези сайтове имат хиляди посетители седмично“, пише Иън Беър от Project Zero в публикация в блога в четвъртък, в която подробно екипът описва откритието си.

iPhone и уязвимости?

Уязвимостите са рядко явление за iPhone, които по принцип се считат за много сигурни устройства. Apple е предложила награда до 1 милион долара на изследователи по сигурността, които могат да помогнат за намиране на критични уязвимости или бъгове в устройствата на компанията. Подобна политика е характерна за почти всеки голям технологичен гигант – Microsoft и Google също имат политики за възнаграждения на изследователи, които откриват уязвимости или пробойни по сигурността в продуктите им.

Често атаките срещу iPhone са доста трудни и се ограничават обикновено до шпионаж между държави. Не е ясно кой стои зад хакерските сайтове, които само с едно посещение биха могли да компрометират милиони устройства.

„Винаги през всички тези години е било възможно използването на този пропуск в сигурността на iPhone, но в реални условия никога до сега не са използвани, поради много усилия и средства необходими за изпълнението им, което ги прави нерентабилни. В миналото зловредният софтуер за iOS се използваше предимно при насочени масирани атаки между държави. Насочвайки атаките към конкретни цели и хора, създателите им ограничаваха публичността на тези уязвимости и ги правеха трудни за разкриване от Apple.“, казва имейл Томас Рийд, директор на отдела по сигурност за Mac и мобилни устройства в Malwarebytes.

Екипът на Google откри, че атаките използват 14 уязвимости от типа 0day в пет отделни експлоатационни вериги. Те варират между iOS 10 до текущата версия, iOS 12, което означава, че хакерите са се насочили към потребителите през последните най-малко две години. Когато Google разкри уязвимостта и я оповести на Apple през февруари, компанията издаде ъпдейт по сигурността за по-малко от седмица.

Какви са опасностите?

Този хак може да даде на нападателите пълен контрол върху iPhone на жертвата, което им позволява да инсталират злонамерени приложения, да получават данни за местоположение в реално време и да откраднат снимки и съобщения, дори ако са криптирани. Поради дълбокия достъп на зловредния софтуер той дори може да получи съдържание на съобщения, преди да бъдат шифровани, заявиха изследователите на Google. Имплантът може да получи достъп до ключодържателя на устройството, който включва пароли и файлове на база данни, използвани от криптирани приложения за съобщения от край до край като WhatsApp, Telegram и iMessage.

Apple отказа коментар, но се уверете, че вашият iPhone е актуализиран до последната версия на ОС и ъпдейтите по сигурността, за да предотвратите потенциален удар чрез тази уязвимост.