Фото: Getty
Найбільш критичну уразливість iPhone не помічали два роки
На момент публікації всі уразливості були усунені оновленнями безпеки в продукції Apple.
Дослідники в сфері інформаційної безпеки з Google Project Zero виявили групу сайтів з кодом, що дозволяє через браузер встановлювати на iPhone програму, яка отримує root-права і завантажує на сервери зловмисників конфіденційні дані, в тому числі паролі, дані місця розташування і фотографії, пише N+1.
Зловмисники розробили щонайменше п'ять атак, заснованих на 14 вразливостях, причому вони були активні протягом більш ніж двох років, і одна з них працювала на поточній версії iOS 12 аж до виявлення. На момент публікації всі уразливості були усунені оновленнями безпеки.
29 серпня 2019 року дослідники з Project Zero оприлюднили інформацію про виявлення цілої низки критичних вразливостей нульового дня, які застосовувалися на практиці протягом як мінімум двох років.
Дослідники ще в лютому повідомили про це Apple, тому компанія виправила уразливість до публічного розкриття інформації.
Дослідники виявили невелику групу зламаних зловмисниками сайтів, що містять код для злому iPhone через браузер Safari. Технічно уразливості були піддані й інші браузери, а також iPad, тому що в iOS розробники можуть використовувати тільки системний движок WebKit, проте дослідники зазначають, що атаки були націлені саме на iPhone і Safari.
Дослідники з'ясували, що шкідлива програма активується кожну хвилину і пересилає на сервери зловмисників дані популярних месенджерів, таких як WhatsApp, iMessage і Telegram, причому в розшифрованому вигляді.
Крім того, вона пересилає всі фотографії з галереї і місце розташування, а також копіює паролі і ключі з вбудованого в iOS менеджера паролів Зв'язка ключів, що дозволяє зловмисникам отримувати доступ до безлічі акаунтів користувачів.
Автори дослідження зазначають, що всі виявлені вразливості вже виправлені Apple, а крім того, вони не приносять користі проти пристроїв на базі процесора A12 (iPhone XS і XR), тому що в ньому Apple застосувала новий захист від атак на JIT-компілятор.
Раніше повідомлялося, що Apple попередила власників смарт-годинників Apple Watch з алюмінієвими корпусами про можливий ризик появи специфічних тріщин на екранах гаджетів.