0-day уязвимость в iOS используется хакерами с 2018 года. Патча пока нет

Рекомендуем почитать:

Xakep #252. Чемоданчик хакера

• Содержание выпуска
• Подписка на «Хакер»

Специалисты компании ZecOps обнародовали отчет, в котором рассказала о 0-day уязвимости в iOS, которая используется хакерами с 2018 года или даже дольше. Так, проблему удалось воспроизвести даже в iOS 6, выпущенной в 2012 году.

По данным специалистов, эксплуатация уязвимости не требует какого-либо взаимодействия с пользователем. Так, злоумышленникам достаточно просто отправить жертве вредоносное письмо. Если пользователь получит почту или откроет Apple Mail, эксплоит сработает. При этом для Gmail и других почтовых клиентов атака не актуальна.

«Уязвимость позволяет удаленно запустить произвольный код в контексте MobileMail (iOS 12) или maild (iOS 13). Успешное использование уязвимости позволит злоумышленнику похитить, изменить и удалить электронные письма», — гласит отчет экспертов.

Исследователи подчеркивают, что эксплуатация одного лишь этого 0-day не позволяет хакерам установить полный контроль над устройством, для этого требуется еще один эксплоит и уязвимость в ядре ОС. Из-за этого аналитики полагают, что в арсенале злоумышленников еще есть как минимум одна уязвимость и эксплоит для нее. Таким образом, получается, что хакеры эксплуатируют проблему out-of-bounds записи и еще одну проблему, связанную с переполнением хипа.

Также, по словам аналитиков, пользователям будет сложно понять, стали ли они жертвой атаки, так как злоумышленники удаляют вредоносные письма сразу после получения удаленного доступа к устройству жертвы.

К настоящему моменту были обнаружены попытки атак на частных лиц и компании из списка Fortune 500 в Северной Америке, руководство японской компании-перевозчика, германского поставщика услуг управляемой безопасности, европейского журналиста и так далее. Эксперты ZecOps отмечают, что обнаруженные атаки хорошо подходят под «профиль» одной известной правительственной хак-группы, но все же не раскрывают ее названия, опасаясь ошибиться с атрибуцией.

Аналитики уведомили Apple об обнаруженной проблеме нулевого дня еще 19 февраля текущего года, и компания занялась расследованием происходящего. 15 апреля 2020 года Apple выпустила бета-версию iOS 13.4.5, где уязвимость была исправлена. Но на этой неделе ситуация изменилась: исследователи решили рассказать о проблеме во всеуслышание до выхода патча и релиза стабильной версии iOS 13.4.5, так как ZecOps обнаружила попытки эксплуатации 0-day бага в логах своих клиентов.

Так как общедоступного патча пока нет, пользователям iOS рекомендуется отключить Apple Mail и использовать вместо него Gmail, Outlook или другой почтовый клиент.

Источник