Apple пусна актуализации за сигурност за iOS, iPadOS, macOS, visionOS и уеб браузъра си Safari. Те отстраняват две zero-day уязвимости, които се експлоатират активно от хакерите.
Първата засяга JavaScriptCore и позволява отдалечено изпълнение код. Втората е свързана с управлението на „бисквитките“ в WebKit и прави системите уязвими за cross-site scripting атаки (XSS).
Актуализациите са налични за iOS 18.1.1 и iPadOS 18.1.1.
Препоръчваме на потребителите да актуализират устройствата си до най-новата версия възможно най-скоро, за да се предпазят от потенциални заплахи.
Хакери използват PWA и WebAPK, за да се представят за официални банкови приложения и да крадат идентификационни данни от потребители на Android и iOS.
PWA и WebAPK се инсталират през браузър, но поддържат функционалности, характерни за мобилните апликации. Когато се използват във фишинг кампании, това им позволява да заобикалят традиционните предупреждения за „инсталиране на неизвестни приложения“ и им дава достъп до рискови разрешения на устройствата, без знанието на потребителя.
Кампанията е разкрита от ESET. Тя залага наPWA и WebAPK, като протича по следния начин:
автоматизирано гласово обаждане за остаряло приложение за банкиране приканва потребителя да избере опция от цифровата клавиатура;
изборът изпраща SMS, включващвръзка към компрометиран интернет адрес, който той трябва да посети, за да обнови апликацията си;
адресът имитира официална страница на Google Play, App Store или на самата банка и приканва жертвата да инсталира „нова версия“ на приложението;
след инсталацията потребителят трябва да изпрати идентификационните си данни за интернет банкиране, за да получи достъп до сметката си. Но те отиват директно към сървърите на нападателите.
Засега подобни кампании са засечени в Чехия, Унгария и Грузия. Но нашият съвет е да бъдете изключително внимателни, когато получавате съобщения, свързани с вашите банкови приложения. Киберпрестъпността не признава граници.
Apple пусна актуализации на сигурността за iOS, macOS, tvOS, watchOS и Safari, за да отстрани множество уязвимости, включително активно експлоатиран Zero-day в macOS Big Sur.
Последният се отнася до проблем с разрешенията в рамката на Apple за прозрачност, съгласие и контрол (TCC) – нападател може да получи пълен достъп до диска или да направи запис на екрана ви, без да има нужда от изричното ви съгласие.
Актуализирайте възможно най-скоро вашите Apple устройства, за да намалите риска, свързан с уязвимостите.
Хакерската групировка Unc0ver пусна поредния си джейлбрейк (jailbreak), за който твърди, че работи на всички iOS на Apple – от iOS 11 (iPhone 5s и по-нови версии) до iOS 14.3.
В туит се казва, че е използван експлойт за CVE-2021-1782 (zero-day уязвимост на ядрото), която Apple вече премахна.
We wrote our own exploit based on CVE-2021-1782 for #unc0ver to achieve optimal exploit speed and stability.
Хакерите „рекламират“ jailbreak като възможност да направите устройството си по-независимо от софтуерната екосистема на производителя му и да получите повече свобода като потребители.
Експертите по сигурността обаче съветват да не прилагате jailbreak инструменти на вашия iPhone, защото това ще го направи по-уязвим на атаки.
Киберспециалисти разкриха информация за коригиран недостатък в приложението Telegram, който е можел да позволи на злонамерени лица да получат достъп до ваши тайни чатове, снимки и видеоклипове.
Става дума за недостатък във функционалността на чата и начина на обработка на анимирани стикери: Нападател е можел да ви изпрати неправилно оформен стикер и да получи достъп до информацията, обменена с вашите контакти в Telegram, включително и чрез тайните ви чатове.
Проблемът е засягал iOS, Android и macOS версии на приложението и е коригиран в периода 30 септември и 2 октомври 2020 г. – актуализирахте ли приложението си?
Разкритието напомня, че периодичните прегледи на сигурността са от решаващо значение при разработването на софтуер, особено при въвеждането на нови функции. Потребителите, от своя страна, следва редовно да прилагат наличните актуализации.
Експлойтът позволява на хакерите да четат имейли, съобщения, да изтеглят снимки и дори да имат достъп до микрофона и камерата ви.
Основата на проблема е в протокола, наречен Apple Wireless Direct Link (AWDL), който iPhone, iPad, Mac и Apple Watches използват, за да създадат мрежа за услуги като AirDrop и Sidecar.
Уязвимостта е била отстранена от Apple през май 2020 г., но все още неактуализираните iPhone и iOS устройства, включително iPhone 11 остават в риск.
Препоръка:
Ако не използвате най-актуалната версия на iOS на вашето устройство, незабавно актуализирайте
Хакерската групировка, наречена Unc0ver, публикува нещо като мана за собствениците на iPhone: jailbreak за почти всички версии на iOS от 11 до 13.5 (изключения са единствено версии 12.3 до 12.3.2 и 12.4.2 до 12.4.5).
Хакерите твърдят, че са използвали zero-day уязвимост в iOS, но не разкриват по-сериозни технически детайли. Според публикация на Vice Motherboard, става дума за пропуск в кода на iOS ядрото.
От Apple вече са се заели да премахнат откритата уязвимост, като ъпдейт се очаква най-рано в следващите 2-3 седмици. Въпреки това Pwn20wnd уверява, че потребителите могат да се върнат на по-стара версия на iOS, което отново ще им позволи да „отключат“ операционната система. Тук изниква въпроса, защо обаче потребителите изобщо да го правят и дали jailbreak-a все още е на мода.
Ограничавайки крайните потребители и без възможност за пълен административен достъп в iOS, от Apple целят да гарантират максимална безопасност и стабилност на работа, но в замяна на невъзможност за инсталация на „външен и неодобрен“ софтуер.
Точно на този психологически похват залагат и от Unc0ver – „Можете да промените каквото пожелаете и да накарате устройството да работи по ваша преценка, отключете истинската сила на вашето i устройство“, гласи посланието при сваляне на инструмента от сайта на групата.
Неоправдан риск
Всъщност дори това твърдение да е вярно, ако се погледне от друга гледна точка, отключването на системата е изключителен риск за сигурността на потребителя.
Чрез заобикаляне на заложените ограничения, потребителят рискува да станете жертва на различен вид зловреден софтуер, който по принцип не би трябвало да е реална заплаха. Факт е, че Apple се стремят към пълен контрол върху цялата екосистема. Тоест приложенията, които работят върху нея, не могат да бъдат инсталирани извън официалния одобрен канал (App Store) от производителя, а това не се нрави на някои потребители.
Причината: използването на такива неодобрени програми може да изиграе лоша шега на любопитния потребител. Интересът и предизвикателството за всеки ентусиаст да пробва собственоръчно новия инструмент се оказаха обаче огромни – малко след като беше публикуван, сайтът на Unc0ver беше временно недостъпен от огромния брой заявки.
Като завършек на интересния случай, член на екипа на Unc0ver – Pwn20wnd е убеден, че „В бъдеще ще се публикуват все повече инструменти за jailbreak и дори след излизането на iOS 14. Ако все пак Apple успеят да закърпят текущата уязвимост, аз ще направя нови програми използващи подобен zero-day подход.“
Голям дял = голям интерес
По последни данни на Statcounter.com, делът на мобилните устройства, работещи под всички версии на iOS, е около 29 %. Добрите резултати на Apple имат и своите последствия – привличат вниманието на „хакери“ и „кракери“, които да доказват своите умения върху продуктите на компанията.
Следователно, уравнението и максимата: много потребители = голям интерес от страна на хакери и евентуално – недоброжелатели, се потвърждава.
Фенове на Apple, пазете се. Две критични уязвимости в мейл клиента на iPhone и iPad позволяват устройството да бъде хакнато и шпионирано. Според различни публикации, експлойти за тях са написани преди повече от 2 години и се използват активно.
Как работи: хакерите могат да превземат устройството като изпратят специфичен имейл към потребителя, чийто акаунт е настроен за мейл клиента на iOS, след което те могат да изпълняват отдалечено код (RCE). В iOS 13 уязвимостта не изисква отварянето на мейла, за да се активира уязвимостта, ако приложението Mail работи във фонов режим. В по-старите версии на операционната система, потребителят трябва да отвори писмото, за да позволи отдалечен контрол от страна на хакерите.
Самият мейл, експлоатиращ уязвимостта, изглежда като празен – т.е. няма съдържание, а заразата е на практика неоткриваема. „Освен временно забавяне на Mail приложението, няма да забележите нищо подозрително,“ твърдят анализаторите от ZecOps. Те са открили и пробойната.
Ето как изглеждат самите мейли:
Важно е да знаете, че в ZecOps са установили, че след превземане контрола на устройствата, тези мейли са изтривани както от телефона/таблета, така и от мейл сървъра.
Двете уязвимости са налични от 8 години насам (iOS 6) и засягат версиите до iOS 13.4.1. В наличните към момента версии на операционната система пачове все още няма. Уязвимостта е запушена във версия 13.4.5, чиято втора бета версия е публикувана в средата на април, но няма дата кога ще бъде официално достъпна.
Официалната позиция на Apple е, че „уязвимостите не представляват пряка заплаха за потребителите ни. Те са факт, но сами по себе си не са достатъчни, за да бъдат прескочени останалите защити на iPhone и iPad. Нямаме доказателства, че са използвани срещу наши потребители. Ще адресираме проблемите в бъдещи версии на софтуера си.“
За да се предпазите, спрете да използвате мейл клиента на iOS, може да го замените с друго приложение като Gmail, Outlook и т.н.
Анализаторите са открили, че уязвимостите са активно използвани за шпиониране на различни частни и държавни организации и дори журналисти от Европа.
Небрежността може да ви струва скъпо. Защото именно на тази небрежност разчитат т.нар. fleeceware. Накратко: това са приложения, които буквално скубят потребителите си с месечни такси за всевъзможни услуги, не малка част от тях дори безсмислени.
През 2019 г. Sophos разкриха група приложения в Play Store, които се радват на висок рейтинг, въпреки че са практически не особено полезни. Сред тях имаше хороскопи, калкулатори, редактори на селфита и др. Общото между тях: те са безплатни за определен период между 3 и 7 дни, след което започват да начисляват такси на седмична или месечна база. Дотук – нищо ново, freemium модел на продажба на софтуер.
Повечето подобни приложения са безплатни за определен период между 3 и 7 дни, след което започват да начисляват такси на седмична или месечна база
Тук в действие влиза небрежността на потребителите. Защото в повечето случаи се оказва, че те просто изтриват приложенията, които не харесват и считат, че с това абонаментите им са прекратени. Всъщност, не е точно така. И създателите на fleeceware приложенията се възползват от факта, че за да спрете абонамент, трябва да го направите през настройките на устройството си, а просто деинсталирането на приложението не прекратява плащането на такси.
Оттам и името fleeceware – приложение, което „скубе“ месечни абонаментни такси от сметката ви.
Вече и за iPhone и iPad
И, ако допреди година този тип приложения бяха налични само за Android, то вече от тази „екстра“ могат да се „възползват“ и собствениците на Apple устройства. Това показва изследване на SophosLabs.
Анализаторите на компанията са намерили около 30 fleeceware приложения, много от които събират абонаментни такси в размер на около 30 USD на седмична или месечна база след изтичането на краткия пробен период.
Доходоносни на ръба на закона
Тук идва и спорният момент с fleeceware приложенията. На практика, те не са незаконни – нито крадат, нито имат друга зловредна функция. Но начисляват солени такси за услуги, които са или налични в операционната система, или нямат някаква реална практична функционалност.
С други думи, не малка част от тях не предоставят „реална стойност за клиента“, както се изисква в насоките на App Store на Apple за платени приложения с абонаменти, раздел 3.1.2 (а). Спорно е дали отговарят и на раздел 2.3.2 от същите Насоки, които изискват „ясно да се покаже дали някои от представените елементи, нива, абонаменти и т.н. изискват допълнителни покупки“.
Въпреки че се движат по този тънък лед, fleeceware са сред най-доходоносните в класацията на Apple App Store. Например, Zodiac Master Plus, е посочено като 11-тото приложение по генериране на приходи.
Силна реклама
Ако се чудите, защо потребителите дори биха помислили да инсталират приложения като тези, вероятно това се дължи на рекламата. Тези приложения се рекламират чрез различни популярни платформи, включително в YouTube видеоклипове или в социални медийни платформи като Instagram, TikTok и дори в реклами, които се появяват в рамките на други приложения.
Повечето от fleeceware се рекламират в App Store като безплатни, затова често не се замисляте, когато ги инсталирате. Друг трик е, че освен че са безполезни, те често имат бъгове, които ви дразнят и ви карат да ги деинсталирате скоро, още в рамките на пробния период. Как да ви хрумне, че точно по тази линия ще изтичат редовни суми от сметката ви…
Как да анулирате абонамента си
От вашето устройство (таблет, телефон) отворете съответния Store (Google Play Store / iTunes & App Store)
Проверете дали сте влезли в правилния профил / с точното ID, с който сте се абонирали за приложението
Изберете менюто Абонаменти (директно или от Настройки)
Изберете абонамента, който искате да отмените
Кликнете върху „Отказ от абонамента“, за да изтриете абонамента изрично
Ако използвате Apple iPhone или MacBook и техния браузър Safari, прочетете внимателно следващите редове.
Уязвимост в операционните системи на компанията позволява камерите на устройствата ѝ да бъдат хакнати просто с посещаване на легитимен уебсайт.
Как? Браузърът Safari разрешава достъп на сайтове до определени функционалности на устройствата – камера, микрофон и др., без да се иска съгласието на потребителя. Казусът идва при проверката на това кои сайтове имат подобни привилегии от операционната система. Така, може да се окаже, че ако сте дали позволение на легитимния https://example.com, фалшивият fake://example.com може да се възползва от него.
Проблемът е свързан с общо 7 уязвимости, открити от анализатора Раян Пикрен (Ryan Pickren), за което е получил награда от Apple в размер на 75 хил. USD. Те са запушени в Safari 13.0.5 и Safari 13.1.
Пример как работи самата уязвимост:
[button color=“green“ size=“big“ link=“https://thehackernews.com/2020/04/hacking-iphone-macbook-camera.html“ target=“true“ nofollow=“false“]Прочетете повече по темата тук[/button]
В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации.
