Специалисты по информационной безопасности из компании FireEye сообщили об обнаружении уязвимости в операционной системе Apple iOS, позволяющей злоумышленникам маскировать вредоносные приложения под подлинные. Ей было дано имя Masque Attack.
Как и в случае с вирусом WireLurker, о котором на днях сообщила исследовательская компания Palo Alto Networks, Masque Attack позволяет злоумышленникам проникать не только во взломанные устройства, но и в устройства без джейлбрейка.
В Palo Alto Networks заявили, что WireLurker является первым вирусом подобного рода. Аналитики объяснили, что он может заражать любые устройства, даже не взломанные. Ранее подобного рода угрозы для владельцев iPhone и iPad отсутствовали.
«Masque Attacks может представлять еще более серьезную угрозу, чем WireLurker, — утверждают, в свою очередь, представители FireEye. — Используя Masque Attacks, злоумышленник может прямо через интернет подменять на устройстве жертвы подлинные приложения, такие как приложения для работы с электронной почтой и доступа к банковским счетам. Это означает, например, что хакер может узнать персональные банковские данные пользователя, заменив подлинное банковское приложение на фальшивое с похожим интерфейсом».
Загрузка вредоносного кода должна происходить с сервера злоумышленника по ссылке. Эту ссылку можно передать будущей жертве по электронной почте или другим способом. Можно подделать отзыв со ссылкой на приложение — функция отправки таких рекомендаций друзьям входит в стандартную функциональность App Store, привели пример в FireEye.
Уязвимость позволяет подменять подлинные приложения на iPhone и не оставляет следов
Для того чтобы выполнить установку приложения из стороннего источника, злоумышленники должны воспользоваться тем же приемом, что и создатели WireLurker — функцией установки на корпоративное устройство (она позволяет не ограничиваться официальным каталогом).
Как утверждают представители FireEye, вредоносное приложение может заменить собой только стороннюю программу. Причем неважно, имеет ли оно идентичное название или нет. В собственном эксперименте FireEye вредоносное приложение под названием New Flappy Bird было успешно установлено поверх официального приложения Gmail от Google, которое уже было в аппарате. Встроенное в операционную систему iOS приложение, например, веб-браузер Safari, вирус заменить не может.
Эксперты подчеркнули, что обнаружение вредоносного приложения, установленного описанным методом, обычным пользователем едва ли возможно. Оно выглядит и работает так же, как подлинное, а вредоносная активность осуществляется в фоне. Сама iOS никак не может детектировать вирус, так как вредоносное приложение имеет тот же идентификатор, что и подлинная программа. При этом расширенная проверка сертификатов приложений, которая бы помогла обнаружению, в iOS не задействована, отметили в FireEye.
Компания FireEye уведомила об указанной бреши в iOS компанию Apple в июле. Однако она так и не была устранена, и ее можно встретить в iOS 8.1 и даже в бета-версии 8.1.1, которая пока не доступна для загрузки рядовым пользователям. Наличие уязвимости также было подтверждено специалистами в версиях iOS 7.1 и 7.1.1.
На данный момент специалисты FireEye не обнаружили случаев состоявшихся атак посредством Masque Attack. Уязвимость подразумевает конкретные действия пользователя по загрузке контента из ненадежных источников в обход предустановленных сценариев защиты. Поэтому если пользователь устанавливает приложения только из App Store, то он в целом не подвержен риску, добавляют специалисты.
Поделиться
