Вредоносные веб-сайты за несколько лет взломали сотни тысяч iPhone

Группа кибербезопасности Project Zero компании Google обнаружила ряд веб-сайтов, использовавших ранее неизвестные уязвимости, чтобы взламывать защиту iPhone своих посетителей. Об этом тревожном открытии рассказал исследователь Иан Бир (Ian Beer) из Project Zero в серии блог-постов, опубликованных в конце прошлой недели.

Вредоносные сайты использовали не менее 14 уязвимостей, причём некоторые из багов «нулевого дня» оказались неизвестны сообществу кибербезопасности. Семь ошибок связаны с браузером Apple Safari для iOS. Остальные были в ядре iOS и в «песочнице», которую эта ОС использует для ограничения доступа приложений к пользовательскому устройству.

Эти уязвимости образовывали «пять независимых, комплексных и уникальных цепочек эксплойтов iPhone, охватывающих почти каждую версию от iOS 10 до новейшей iOS 12». По мнению Бира это свидетельствует о серьёзной и планомерной работе, ведущейся преступным сообществом по взлому iPhone в течение, по меньшей мере двух последних лет.

Цепочки эксплойтов задействуют разные методы взлома, но конечная цель у них одна. В случае успеха атаки, на смартфон жертвы устанавливается программный «имплант», который отслеживает перемещения почти в реальном времени, просматривает фотографии и копирует логины/пароли всех учётных записей, хранящихся на взломанном устройстве. Этот имплант также способен читать сообщения в зашифрованных чатах, таких как WhatsApp.

Google в феврале уведомила Apple об этой опасности, и вскоре после этого производитель iPhone выпустил патч. Тем не менее, характер некоторых ошибок поднимает вопрос о эффективности процедуре контроля качества программного обеспечения компании Apple.

Бир указал, что одна из цепочек эксплойтов использует недоделанную функцию iOS, которую никто не побеспокоился удалить, а другую ошибку следовало бы выявить в ходе оценки программного кода до релиза. «Трудно понять, как эта ошибка могла попасть в базовую библиотеку iOS, поставляемую конечным пользователям, — пишет о второй ошибке Бир. — Несмотря на то, что ошибки это обычное дело при разработке ПО, такую ​​серьезную недоработку, как эта, следовало быстро выявить в результате модульного теста, проверки кода или даже фаззинга».

Сама Apple уделяет всё большее внимание проблеме контроля потенциальных уязвимостей в iOS. В августе она сообщила, что планирует предоставить сообществу кибербезопасности специально сконфигурированные тестовые iPhone, чтобы упростить сторонним исследователям поиск уязвимостей. Кроме того компания увеличила максимальный размер премии за информацию о новых ошибках до 1 млн долл. Это в пять раз выше награды, которую она предлагала в 2016 году.

Стратегія охолодження ЦОД для епохи AI