Bir araştırmacı, yamalanmamış bir güvenlik açığından iCloud hesap şifrelerini çalmak için ne kadar kolay yararlanılabileceğini gösteren bir kavram kanıtını açıkladı.
Bir araştırmacı, Apple cihazlarına yönelik, iCloud şifrelerinin çalınmasıyla sonuçlanabilecek bir saldırının kavram kanıtını yayınladı.
Kavram kanıtı, GitHub kod deposunda barındırılıyor iOS posta istemcisinde bulunan kusurun ayrıntılarını veriyor. Araştırmacıya göre, hata, aşağıdakiler gibi potansiyel olarak kötü amaçlı kodları ortadan kaldırmaz: < meta http-equiv=yenileme > E-posta mesajlarındaki HTML etiketi, uzak HTML içeriğinin yüklenmesine olanak tanır; sahtekarlık amacıyla orijinal e-postanın içeriğinin yerine geçer.
Kavram kanıtı, kurbana gönderildiğinde iCloud açılır kimlik bilgileri istem kutusunun aynısını getiren bir e-postayı gösteriyor. E-posta açılırsa ve kurban kimlik bilgilerini girerse, bir bilgisayar korsanı bu ayrıntıları çalabilir.
Oku bunu
Altı tıklama: Nasıl programlanacağını öğrenmek için en iyi ücretsiz iOS ve Android uygulamaları
Yaşı ne olursa olsun, programlama dili öğrenmek pazarlanabilir bir beceridir. İşte size yardımcı olacak mobil uygulamalar.
Şimdi OkuHesap ayrıntıları, özelleştirilmiş bir uzak sunucunun .php kodlamasına gönderilir, bu da onları bir metin dosyasına kaydeder ve bu dosya, sonunda sunucu denetleyicisinin e-posta gelen kutusuna gönderilir.
Tek gereken, sahte istem kutusu kodlamasını barındıran bir sunucu ve iOS kullanıcısını kandırmak için meta etiketi kullanan bir e-postadır. Sistemin bazen rastgele oturum açma istemlerini görüntülediği biliniyorsa, bu tür üst düzey, karmaşık kimlik avı kampanyaları, bırakılırsa büyük ölçüde başarılı olabilir. yamalı.
Araştırmacı, "Bu UIWebView'da JavaScript devre dışı bırakıldı, ancak basit HTML ve CSS kullanarak işlevsel bir şifre "toplayıcı" oluşturmak hâlâ mümkün" diyor.
Konsept kanıtı aşağıdaki videoda gösterilmektedir:
Şüphe uyandırmayı önlemek amacıyla, istismarın ne zaman gerçekleştiğini tespit etmeye yönelik tespit yetenekleri bulunmaktadır. kurban zaten bir mesajı görüntüledi ve bu nedenle şifreyi sürekli olarak göstermiyor çabuk. "Otomatik odaklama" adı verilen bir işlev, kurban şifresini doğru alana girip Tamam düğmesini tıkladığında oturum açma iletişim kutusunu gizlemek için de kullanılıyor.
Güvenlik araştırmacısı, açığı bu yılın Ocak ayında keşfettiğini ve iOS işletim sisteminin iPad ve iPhone'larda mevcut en son sürümlerinin savunmasız olduğunu söylüyor. Altı ay sonra, iOS 8.1.2 sürümünü takip eden hiçbir güncellemede bir düzeltme yayınlanmadı ve bu durum, istismarın çevrimiçi olarak yayınlanması kararına yol açtı.
Güncellenmiş: Bir Apple sözcüsüne göre, "Bu konsept kanıtından etkilenen herhangi bir müşterimizin farkında değiliz." "Fakat yaklaşan bir yazılım güncellemesi için bir düzeltme üzerinde çalışıyoruz."
Ayrıca bakınız: Apple WWDC 2015: Tüm bu harika yeni iOS 9 özelliklerini istiyorsanız, yeni bir iPad satın almanın zamanı geldi
İş seyahati için temel iPad ve iPhone uygulamaları
Okumaya devam edin: Güvenlik dünyasında
- Grabit kampanyası KOBİ'leri gözetliyor, hassas verileri çalıyor
- Hola: Botnet tarafı olan ücretsiz bir VPN
- Araştırmacılar çalıntı mobil ivmeölçer verilerini kullanarak işe gidip gelenleri izliyor
- Perakendeciler, iş talepleri aracılığıyla yeni satış noktası kötü amaçlı yazılımlarının hedefi oluyor
- Suç teşkilatlarıyla mücadele için fidye yazılımı kurtarma kiti piyasaya sürüldü
Devamını oku: Düzeltmeler ve Kusurlar
- Güvenlik açığı, tek bir URL tıklamasıyla Android uygulamasının kurcalanmasına izin veriyor
- NetUSB kusuru 'milyonlarca' yönlendiriciyi ve IoT cihazını bilgisayar korsanlığına karşı savunmasız bırakıyor
- Samsung güvenliği: Yamanın uygulanması 'çok uzun' ne kadar sürer?
- Kurumsal ve bulut hizmetleri Logjam'e karşı savunmasız olarak görülüyor