iTunes i iCloud umożliwiały instalację malware. Powód? Brak cudzysłowów

Programiści, definiując ścieżkę do modułu aktualizacji, zapomnieli o cudzysłowach. To prosty, ale bardzo brzemienny w skutkach błąd. W takim wypadku tylko część C:\Program została narzucona, podczas gdy pozostały fragment ciągu, w tym nazwa pliku wykonywalnego, stał się parametrem. Wykorzysztując tę wpadkę, napastnicy mogli doprowadzić do uruchomienia dowolnego programu jako proces potomny iTunes lub iCloud.

Jak ustalili eksperci, w sierpniu 2019 roku luka została wykorzystana do instalacji na nieznanej liczbie komputerów ransomware'u BitPaymer. Plik wykonywalny szkodnika nazwano Program, – a żaden antywirus nie wykrył go w porę, uznając software Apple'a za zaufany.

Według Michaela Goerlika, CTO Morphisec, podobne błędy znajdują się również w sterowniku graficznym Intela, a także kilku aplikacjach do VPN, takich jak ExpressVPN i Forcepoint.

Goerlik dodaje, że jeszcze w kwietniu powiadomił Apple o uchybieniach. Ostatecznie luka została załatana w iTunes 12.10.1 i iCloud 7.14. Tak więc w teorii użytkownicy tego oprogramowania znów są bezpieczni, choć specjalista jasno mówi: – Apple załatało tylko lukę już wykorzystaną przez cyberprzestępców, a donieśliśmy jeszcze o kilku innych, które wciąż pozostają w kodzie. Z oczywistych przyczyn nie chce ich jednak wyciągać na światło dzienne.

Warto przy tym mieć na uwadze, że z uwagi na złamanie modułu aktualizacji, automatyczny update może nie gwarantować bezpieczeństwa. Lepiej zatem nowe wersje pobrać bezpośrednio.