Luka w iOS pozwala wydobyć prywatne dane z telefonu

Specjaliści odkryli w systemach iOS 7 i 8 lukę, której umiejętne wykorzystanie pozwoli zdobyć dane zapisane na telefonie czy tablecie. Atak został nazwany Masque i polega na zainstalowaniu złośliwej aplikacji w miejsce oficjalnej. Atak działa także na nieuwolnionych urządzeniach, zarówno z Sieci jak i przez USB. Firma Apple została poinformowana w lipcu, ale jeszcze nie wydała oficjalnego komentarza w tej sprawie.

Atak może zacząć się od niewinnie wyglądającej wiadomości, maila lub SMS-a. Celem jest przekonanie użytkownika, by zainstalował aplikację – na przykład dobrze znaną grę Flappy Bird, której oficjalnie nie ma w App Store. Są takie aplikacje, po które chętnie sięgną rzesze użytkowników nie zważając na swoje bezpieczeństwo, o czym cyberprzestępcy dobrze wiedzą.

Zamiast gry pobieramy złośliwą aplikację, która zastąpi jedną z już obecnych na smartfonie – na przykład klienta Gmaila. Pod takim przebraniem szkodnik pobiera dane z pamięci podręcznej oryginalnej aplikacji i wysyła je do wyznaczonego wcześniej miejsca. Specjaliści testowali atak w szczególności z klientami poczty i udawało im się zdobyć dostęp do archiwum wiadomości na urządzeniu. Złośliwa aplikacja może wyglądać jak jej pierwowzór i spełniać te same funkcje, użytkownik więc nie zorientuje się, że nie korzysta z oryginalnego klienta danej usługi i może podać jej także dane logowania.

Atak wykorzystuje profile przygotowane dla przedsiębiorstw, by uzyskać dostęp do urządzenia. Profile te umożliwiają firmom instalację własnych aplikacji na urządzeniach pracowników bez przechodzenia przez App Store, są też wykorzystywane do testowania aplikacji. Złośliwa aplikacja musi także zdobyć odpowiedni identyfikator (ciąg znaków, dzięki której urządzenie ją rozpoznaje), aby skutecznie podszyć się pod wybraną aplikację. Dzięki temu urządzenie „nie wie”, że nie uruchamia oryginalnej aplikacji ze sklepu. Złośliwa aplikacja będzie działać także po ponownym uruchomieniu urządzenia i jeśli jest dobrze zaprojektowana, użytkownik nie ma powodów by podejrzewać, że padł ofiarą ataku.

Firma FireEye, która zademonstrowała atak, twierdzi, że można powtórzyć go na systemach iOS 7.1.1, 7.1.2, 8.0, 8.1 i 8.1.1 beta. Jak często bywa w takich przypadkach, najlepszą formą ochrony jest unikanie aplikacji spoza oficjalnego sklepu, a w szczególności takich, do których odnośniki dostajemy w podejrzanych wiadomościach czy wyskakujących okienkach, bez względu na to jak atrakcyjne będą się wydawać. Jeśli system wyświetli powiadomienie o niezaufanym deweloperze, należy natychmiast usunąć aplikację.