Apple

Apple нарушава законодателството на ЕС, като позволява потребителите на iPhone да бъдат проследявани без тяхното съгласие. Това твърди noyb, организация с идеална цел, основана от активиста за защита на личните данни Max Schrems, в жалба до германските и испанските регулатори.

Уникалният код за проследяване, генериран от всеки iPhone – IDFA (идентификатор за рекламодатели) – позволява на Apple и всички разработчици на приложения за iPhone да видят как се държат потребителите, без тяхното знание или съгласие.

Още повече, IDFA дава възможност на трети страни да идентифицират потребителите в различни приложения и дори да свързват онлайн и мобилно поведение (cross device tracking).

През юни 2020 г. Apple заяви, че с въвеждането на най-новата си операционна система iOS 14, приложенията ще трябва да поискат разрешение, преди да получат достъп до IDFA на телефона. През септември обаче стана ясно, че промените ще се забавят до началото на 2021 г.

Най-успешният хак в тазгодишния турнир, провеждан от TianFu Cup, е този на iPhone 11 Pro с iOS 14 – само за 10 секунди.

Applause to another big winner on target iPhone 11 pro+iOS14. $180,000 granted! @S0rryMybad @realBrightiup 👏 https://t.co/g51eVoIdqn

— TianfuCup (@TianfuCup) November 8, 2020

Разбира се, уязвимостите на хакнатия софтуер са докладвани на производителя, така че да бъдат отстранени при следващите актуализации.

Apple пусна актуализации на защитата за iOS, с която закърпва 3 zero-day уязвимости.

Съветваме потребителите на iOS да ъпдейтнат веднага до iOS 14.2 ако това вече не е направено автоматично.

Става дума за:

• CVE-2020-27930 – проблем с отдалечено изпълнение на код в компонента на iOS FontParser, който позволява на атакуващите да стартират дистанционно код на устройства с iOS
• CVE-2020-27932 – уязвимост за ескалация на привилегии в ядрото на iOS, която позволява на атакуващите да стартират злонамерен код с привилегии на ниво ядро
• CVE-2020-27950 – изтичане на памет в ядрото на iOS, което позволява на нападателите да извличат съдържание от паметта на ядрото на iOS устройство

Смята се, че трите са били използвани заедно, като част от експлойт верига, позволяваща на нападателите да компрометират iPhone устройства от разстояние.

Google, Apple, Microsoft, Chase и Citibank са сред засегнатите организации след успешен хак на услугата Nitro PDF – приложение, използвано за създаване, редактиране и подписване на PDF и цифрови документи.

Засегната от пробива е облачна услуга, използвана от клиентите за споделяне на документи с колеги или други организации. Откраднати са бази данни на потребители, както и 1 TB документи, които се продават на черния пазар, в частен търг с начална цена 80 хил. USD, твърди фирмата за киберсигурност Cyble.

Компрометираните записи съдържат имейл адреси, пълни имена, bcrypt хеширани пароли, заглавия, имена на компании, IP адреси и др.

Според Cyble, базите данни съдържат значително количество записи, свързани с известни компании, както е показано в таблицата по-долу:

Cyble е добавил данните към услугата си AmIBreached.com. Потребителите могат да изпратят своя имейл адрес и да проверят дали той е разкрит в открадната база данни.

Хакерската групировка, наречена Unc0ver, публикува нещо като мана за собствениците на iPhone: jailbreak за почти всички версии на iOS от 11 до 13.5 (изключения са единствено версии 12.3 до 12.3.2 и 12.4.2 до 12.4.5).

Хакерите твърдят, че са използвали zero-day уязвимост в iOS, но не разкриват по-сериозни технически детайли. Според публикация на Vice Motherboard, става дума за пропуск в кода на iOS ядрото.

От Apple вече са се заели да премахнат откритата уязвимост, като ъпдейт се очаква най-рано в следващите 2-3 седмици. Въпреки това  Pwn20wnd уверява, че потребителите могат да се върнат на по-стара версия на iOS, което отново ще им позволи да „отключат“ операционната система. Тук изниква въпроса, защо обаче потребителите изобщо да го правят и дали jailbreak-a все още е на мода.

Ограничавайки крайните потребители и без възможност за пълен административен достъп в iOS, от Apple целят да гарантират максимална безопасност и стабилност на работа, но в замяна на невъзможност за инсталация на „външен и неодобрен“ софтуер.

Точно на този психологически похват залагат и от Unc0ver – „Можете да промените каквото пожелаете и да накарате устройството да работи по ваша преценка, отключете истинската сила на вашето i устройство“, гласи посланието при сваляне на инструмента от сайта на групата.

Неоправдан риск

Всъщност дори това твърдение да е вярно, ако се погледне от друга гледна точка, отключването на системата е изключителен риск за сигурността на потребителя.

Чрез заобикаляне на заложените ограничения, потребителят рискува да станете жертва на различен вид зловреден софтуер, който по принцип не би трябвало да е реална заплаха. Факт е, че Apple се стремят към пълен контрол върху цялата екосистема. Тоест приложенията, които работят  върху нея, не могат да бъдат инсталирани извън официалния одобрен канал (App Store) от производителя, а това не се нрави на някои потребители.

Причината: използването на такива неодобрени програми може да изиграе лоша шега на любопитния потребител. Интересът и предизвикателството за всеки ентусиаст да пробва собственоръчно новия инструмент се оказаха обаче огромни – малко след като беше публикуван, сайтът на Unc0ver беше временно недостъпен от огромния брой заявки.

Като завършек на интересния случай, член на екипа на Unc0ver – Pwn20wnd е убеден, че „В бъдеще ще се публикуват все повече инструменти за jailbreak и дори след излизането на iOS 14. Ако все пак Apple успеят да закърпят текущата уязвимост, аз ще направя нови програми използващи подобен zero-day подход.“

Голям дял = голям интерес

По последни данни на Statcounter.com, делът на мобилните устройства, работещи под всички версии на iOS, е около 29 %. Добрите резултати на Apple имат и своите последствия – привличат вниманието на „хакери“ и „кракери“, които да доказват своите умения върху продуктите на компанията.

Следователно, уравнението и максимата: много потребители = голям интерес от страна на хакери и евентуално – недоброжелатели, се потвърждава.

Последен ъпдейт на 4 май 2020 в 11:56 ч.

Фенове на Apple, пазете се. Две критични уязвимости в мейл клиента на iPhone и iPad позволяват устройството да бъде хакнато и шпионирано. Според различни публикации, експлойти за тях са написани преди повече от 2 години и се използват активно.

Как работи: хакерите могат да превземат устройството като изпратят специфичен имейл към потребителя, чийто акаунт е настроен за мейл клиента на iOS, след което те могат да изпълняват отдалечено код  (RCE). В iOS 13 уязвимостта не изисква отварянето на мейла, за да се активира уязвимостта, ако приложението Mail работи във фонов режим. В по-старите версии на операционната система, потребителят трябва да отвори писмото, за да позволи отдалечен контрол от страна на хакерите.

Самият мейл, експлоатиращ уязвимостта, изглежда като празен – т.е. няма съдържание, а заразата е на практика неоткриваема. „Освен временно забавяне на Mail приложението, няма да забележите нищо  подозрително,“ твърдят анализаторите от ZecOps. Те са открили и пробойната.

Ето как изглеждат самите мейли:

Важно е да знаете, че в ZecOps са установили, че след превземане контрола на устройствата, тези мейли са изтривани както от телефона/таблета, така и от мейл сървъра.

Двете уязвимости са налични от 8 години насам (iOS 6) и засягат версиите до iOS 13.4.1. В наличните към момента версии на операционната система пачове все още няма. Уязвимостта е запушена във версия 13.4.5, чиято втора бета версия е публикувана в средата на април, но няма дата кога ще бъде официално достъпна.

Официалната позиция на Apple е, че „уязвимостите не представляват пряка заплаха за потребителите ни. Те са факт, но сами по себе си не са достатъчни, за да бъдат прескочени останалите защити на iPhone и iPad. Нямаме доказателства, че са използвани срещу наши потребители. Ще адресираме проблемите в бъдещи версии на софтуера си.“

За да се предпазите, спрете да използвате мейл клиента на iOS, може да го замените с друго приложение като Gmail, Outlook и т.н.

Анализаторите са открили, че уязвимостите са активно използвани за шпиониране на различни частни и държавни организации и дори журналисти от Европа.

Последен ъпдейт на 4 май 2020 в 11:58 ч.

Pwn2Own е инициатива, която поставя скромното си начало през 2007 г. Състезанието е плод на недоволството на създателя му, Драгос Руиу, подразнен от нехайството на Apple относно пробойните в сигурността на продуктите им.

Вдъхновен от тогавашния мит, че Apple компютрите поначало са ваксинирани срещу вируси, Руиу решава да обогати конференцията с още едно занимание. Той оставя два Macbook Pro 15” в залата и информира посетителите, че първите двама, които успеят отдалечено да пробият сигурността им, могат да си тръгнат с тях. В резултат на това се откриват две значими уязвимости в Quick Time плейъра и победителите отнасят още $10 000 в замяна на информацията за тях. За жалост, крайните потребители и до ден днешен са убедени в безупречността на Apple машините си…

В последващите години събитието постепенно добива днешния си вид. Заобикалянето на механизми и протоколи за сигурност в най-новите или “изгряващи” устройства и софтуер, продължава да бъде предизвикателство номер едно пред участниците. Това, което се променя динамично, са наградите. Те придобиват все по-впечатляващ вид, тъй като все повече производители проявяват интерес сигурността на продуктите им да бъде тестванa от опитни етични хакери, формиращи отбори от цял свят

Държавна забрана

През 2018 г. някои от най-влиятелните участници отпадат, след като Китай забранява на свои граждани да участват в състезанието и не допуска споделянето на информация за уязвимости на чужди страни като цяло. Въпреки това, наградният фонд значително натежа миналата година, след като Тесла предостави един от седаните си – иновативният модел 3 – като награда за събитието. Спечелилите го участници отнесоха и над четвърт милион долара като парично допълнение за намерената уязвимост в системата за развлечения на електромобила.

Принудителни промени

Тазгодишното издание на Pwn2Own въведе промени, които вероятно ще се задържат дълго след изтичане на обстоятелствата, които ги изискват. Поради пандемията от COVID-19 и местните регулации за справяне с нея, организаторите бяха принудени да проведат състезанието изцяло онлайн. Въпреки наложените промени в правилата и намалелия брой участници, състезанието е увенчано с успех.

Благополучният му край до голяма степен се дължи на един от страничните ефекти на новия формат – хора от цял свят могат да вземат участие, без да бъдат спирани от визи или наложени ограничения. Резултатът е 13 значителни софтуерни уязвимости, намерени в рамките на два дни и общо четвърт милион долара раздадени награди. Успехът на първото изцяло виртуално състезание е неочаквана изненада. Според тях обаче това трайно ще промени начина, по който ще се провеждат бъдещите издания.

Постижения

Част от постиженията на участниците в първия Pwn2Own за 2020 г. са:

• Експлоатиране на уязвимост в Apple Safari с ескалиране на привилегии в ядрото на macOS системата с награда: 70 хил. USD. Отборът е използвал верига от 6 последователно експлоатирани бъга, за да достигне до крайната си цел.
• Две награди за локална ескалация на привилегии в Microsoft Windows чрез експлоатиране на UAF (Use-after-free) уязвимости на обща стойност 80 хил. USD.
• Експлоатиране на неправилна валидация на входни дании в Ubuntu Desktop за локална ескалация на привилегии с награда 30 хил. USD
• Използване на UAF уязвимости в Adobe Acrobat Reader и Windows за постигане на контрол върху системата с награда 50 хи. USD.

Успехът на първото изцяло виртуално състезание е неочаквана изненада за организаторите. Според тях обаче това трайно ще промени начина, по който ще се провеждат бъдещите издания

Последен ъпдейт на 8 април 2020 в 10:11 ч.

Apple е запушила 30 уязвимости в новата версия на операционната си система за iPhone и iPad – iOS 13.4. Тя е съвместима с iPhone 6s и по-новите модификации на смартфона, iPad Air 2, iPad mini 4 и iPod touch 7-о поколение и последващите версии на устройствата.

Сред най-сериозните запушени уязвимости е CVE-2020-9785, с която зловредни приложения могат да получат права за достъп до ядрото на платформата.

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Ако мислите, че за macOS няма вируси, помислете отново. Само за първата половина на годината вече има 10 успешни атаки срещу операционната система на Mac. А тенденцията е броят на тези заплахи да стават все по-голям.

Анализаторите от SentinelOne са събрали 10 успешно усвоени уязвимости за macOS само за последните шест месеца.

1. OSX.DOK инсталира скрита версия на браузъра Tor и други приложения, които крадат потребителски данни, следят трафика и комуникацията през устройството. Зловредният софтуер се активира чрез фишинг кампания и може да разчете интернет трафика, дори да е криптиран.
2. Както името подсказва, CookieMiner използва и криптоминер, и бекдор, за да се активира. След като устройството е заразено, зловредният софтуер се старае да открадне сметки за криптовалути и съответно да източи средствата на потребителя.
3. Lazarus е известен отдавна, но продължава да се използва, защото позволява на киберпрестъпниците да установят пълен контрол върху заразените устройства.
4. OSX.Pirrit използва реклами и браузъри, за да печели пари от търсенията в интернет на потребители, които са заразени. Заплахата пренасочва към измамни сайтове, чрез които устройствата се шпионират и хакерите крадат потребителски данни.
5. Зловредният софтуер OSX.Siggen се разпространява чрез фалшиво WhatsApp приложение. Хакерите достъпват до устройствата чрез бекдор.
6. Най-честият метод за разпространението на OSX.Loudminer са фалшиви копия на аудио софтуер като Ableton Live. Веднъж инсталиран, вирусът криптира данните в устройството.
7. KeyStealDaemon краде пароли и използва вече патчнати zero-day уязвимости. Атаката е успешна, ако потребителят не е ъпдейтнал операционната си система.
8. OSX/Linkerпък използва zero-day уязвимости, за които все още Apple няма пач. Разпространява се чрез фалшиви инсталатори на Adobe Flash Player. Хакерите могат да заблудят потребителя да изтегли опасно изображение и през него да изпълняват злонамерени кодове.
9. OSX-Mokes и OSX.Netwire/Wirenet се крият зад модификации на легитимни имена като „Dropbox“, „Chrome“ и „Firefox“. Заплахите използват бекдор и могат да снимат екрана на устройството, да следят натисканията на клавиши и съответно да крадат информация.
10. OSX/CrescentCore е заплаха, която се опитва да капитализира тегленията и търсенията от браузърите на заразени устройства чрез злонамерени софтуери като скеъруеър и блоатуер.

Факт е, че рекламните софтуери (може да) не са опасни – но е факт, че товарят излишно устройството и може да покажат реклами към потенциално опасни сайтове.

Ако използвате Mac, не мислете, че устройството ви е недосегаемо за хакери. Кибер престъпниците използват хитри методи за използване на уязвимостите в операционната система и могат да заблудят дори опитни IT специалисти.

Съветваме потребителите на устройства Apple да ги ъпдейтват редовно и да използват надеждни антивирусни програми.

Нова фишинг кампания атакува потребители с Apple ID, използвайки хитър и труден за забелязване механизъм. Според BleepingComputer потребителят получава писмо с фалшива фактура за закупено приложение от App Store.

Фактурата съдържа линкове към страници, от които да се докладват неоторизирани покупки. Всъщност линковете водят към фишинг страница, която изисква от потребителя да въведе своите данни за достъп до Apple ID.

При въвеждане на данните фалшивият сайт отвежда потребителя към друга страница с предупреждение, че акаунтът му е бил заключен. Тук потребителят започва да се тревожи, че акаунтът му е бил хакнат, затова натиска бутончето Unlock Account. То го води към трета фишинг страница, на която той трябва да въведе данни, за да потвърди самоличността си.

Според BleepingComputer един от елементите, които правят фишинг атаката толкова убедителна, е, че след като въведе данните си, потребителят вижда съобщение: This session has timed out for your security. Това още повече го убеждава, че това, което се случва, е истина.

Apple е на 14-о място в класацията на Vade Secure за най-експлоатираните брандове във фишинг атаки. На първите места в списъка  са Microsoft, PayPal и Netflix.

Спамърите стават все по-изобретателни, когато трябва да осъществят фишинг кампания. Често срещана тактика е да изпращат фишинг съобщения от фалшиви имейл адреси, които изглеждат напълно легитимни. Друг популярен подход е да правят фишинг страници със SSL сертификат, за да могат да заблудят жертвите си. Всъщност половината фишинг страници използват SSL, ако се вярва на данните на PhishLabs.

Според проучване на Sophos най-ефективните фишинг съобщения съдържат в себе си нещо банално: например заявка за нова задача или среща. „Изводът е, че трябва да сме внимателни. Дори и най-тривиално изглеждащите имейли могат да крият в себе си заплаха“, коментират от компанията.