I ricercatori del gruppo Google Project Zero hanno scoperto una vulnerabilità che è una delle più grandi nella storia della piattaforma iOS. Il malware dannoso sfruttava i bug del browser web mobile Safari.
L'esperto di Google Project Zero Ian Beer spiega tutto sul suo blog. Nessuno ha dovuto evitare gli attacchi questa volta. Bastava visitare un sito infetto per essere infettati.
Gli analisti del Threat Analysis Group (TAG) alla fine hanno scoperto complessivamente cinque diversi bug presenti da iOS 10 a iOS 12. Ciò significa che gli aggressori potevano sfruttare la vulnerabilità per almeno due anni da quando questi sistemi erano sul mercato.
Il malware utilizzava un principio molto semplice. Dopo aver visitato la pagina, in background veniva eseguito un codice che veniva facilmente trasferito sul dispositivo. Lo scopo principale del programma era raccogliere file e inviare dati sulla posizione a intervalli di un minuto. E poiché il programma si copiava nella memoria del dispositivo, nemmeno questi iMessage ne erano al sicuro.
TAG insieme a Project Zero ha scoperto un totale di quattordici vulnerabilità in cinque difetti di sicurezza critici. Di questi, ben sette riguardavano Safari mobile in iOS, altri cinque erano legati al kernel del sistema operativo stesso e due erano addirittura riusciti a bypassare il sandboxing. Al momento della scoperta, nessuna vulnerabilità era stata risolta.
L'insieme di queste vulnerabilità è pericoloso in quanto gli aggressori potrebbero facilmente diffondere il codice attraverso i siti interessati. Poiché per infettare un dispositivo è sufficiente caricare un sito Web ed eseguire script in background, praticamente chiunque era a rischio.
Tutto è spiegato tecnicamente sul blog inglese del gruppo Google Project Zero. Il post contiene una ricchezza di dettagli e dettagli. È sorprendente come un semplice browser web possa fungere da gateway per il tuo dispositivo. L'utente non è obbligato ad installare nulla.
La sicurezza dei nostri dispositivi non è quindi una cosa da prendere alla leggera.
Petr Škuta 
David Hanak 
