Nέο zero-click exploit, επιτρέπει την απομακρυσμένη χρήση των iPhone

Η ZecOps, μια εταιρεία ασφάλειας στον κυβερνοχώρο, αποκάλυψε ένα σημαντικό ελάττωμα ασφαλείας στην εγγενή εφαρμογή email του λειτουργικού Apple iOS, αφήνοντας εκατοντάδες εκατομμύρια iPhone και iPad ευάλωτα. Αυτό το ελάττωμα ανακαλύφθηκε κατά τη διάρκεια έρευνας από την εταιρεία για επίθεση στον κυβερνοχώρο που έπληξε έναν από τους πελάτες της στα τέλη του 2019. Υποτίθεται ότι άλλοι 6 κορυφαίοι στόχοι έπεσαν θύματα: υπαλλήλους μιας εταιρείας που βρίσκεται στην λίστα Fortune 500 στη Βόρεια Αμερική, στέλεχος από εταιρεία μεταφορών στην Ιαπωνία, ένας VIP στη Γερμανία, ένας δημοσιογράφος στην Ευρώπη, στέλεχος επιχείρησης στην Ελβετία, όπως και  θύματα στη Σαουδική Αραβία και το Ισραήλ.

“Το εύρος της επίθεσης συνίσταται στην αποστολή ενός ειδικά κατασκευασμένου μηνύματος ηλεκτρονικού ταχυδρομείου στο γραμματοκιβώτιο του θύματος που του επιτρέπει να προκαλέσει την ευπάθεια στο πλαίσιο της εφαρμογής iOS MobileMail στο iOS 12 ή μέσω ηλεκτρονικού ταχυδρομείου στο iOS 13”, εξηγεί η ZecOps στην έκθεσή της. Η εκμετάλλευση αυτού του ελαττώματος, εξ αποστάσεως, δεν απαιτεί καμία ενέργεια από το θύμα. Δεν υπάρχει αρχείο για λήψη ή κάποιος ιστότοπος που θα πρέπει να επισκεφθεί. Απλά αρκεί να ανοίξετε ένα κενό email, μέσω της εφαρμογής Mail στο κινητό με την συσκευή να “κρασάρει” και να κάνει επανεκκίνηση. Με αυτό τον τρόπο ανοίγει η πόρτα σε χάκερ, οι οποίοι στη συνέχεια θα μπορούσαν να πάρουν τα δεδομένα που είναι αποθηκευμένα μέσα στη συσκευή μέσω της εφαρμογής.

Σύμφωνα με την εταιρεία, ένα κακόβουλο πρόγραμμα μπορούσε να εκμεταλλευτεί αυτήν την ευπάθεια του λειτουργικού συστήματος των κινητών της Apple από τον Ιανουάριο του 2018. Ακόμη χειρότερα, σύμφωνα με την εταιρεία, το ελάττωμα υπήρχε στην εφαρμογή Mail από τουλάχιστον το iOS 6. Η οποία κυκλοφόρησε το 2012. “Αυτές οι ευπάθειες – ειδικά η απομακρυσμένη υπερχείλιση σωρού – αξιοποιούνται ευρέως με στοχευμένες επιθέσεις από έναν ή περισσότερους προηγμένους φορείς απειλής”, προσθέτει η ZecOps.

Οι πληροφορίες ελήφθησαν σοβαρά υπόψη από την Apple, η οποία δεν έκανε κάποιο σχόλιο. Σε επαφές με την ZecOps τον περασμένο Μάρτιο, η αμερικανική εταιρεία αναγνώρισε την ύπαρξη του ελαττώματος στο Apple iOS, το οποίο διορθώθηκε στην τελευταία έκδοση beta του iOS. Μια ενημέρωση κώδικα θα αναμένεται να κυκλοφορήσει για όλους τους χρήστες μέσα στις επόμενες εβδομάδες.