Apple AirTags используются против добрых самаритян с помощью этой уязвимости в системе безопасности

Apple AirTag
Исследователь безопасности обнаружил уязвимость Apple AirTags , которая может эффективно превратить доступный трекер в дешевую приманку для фишинга. Это стало возможным благодаря «режиму пропажи» трекера, цель которого заключается в том, что если пользователь потеряет свой AirTag, он может пометить его как пропавший. Предположим, что честный человек наткнулся на потерянный трекер, пользовательская ссылка отправит его на веб-сайт с номером телефона владельца и любым сообщением, которое он может оставить.
Однако добрые намерения могут привести к плохим делам, и эту же особенность можно использовать против людей, которые пытаются поступать правильно. Что кажется вопиющим упущением со стороны Apple, недобросовестный человек вполне может купить AirTag за 29 долларов, внедрить в него вредоносный код, а затем броситься в дикую природу и ждать, пока жертва не найдет его.
Исследователь безопасности Бобби Раух объясняет в своем блоге, что поле номера телефона в режиме пропажи AirTag не защищено должным образом. Заполняя его вредоносным кодом вместо фактического номера телефона, злоумышленник, по сути, превращает дешевое устройство слежения в оружие, превращая его в своего рода современного троянского коня или хитрую приманку для фишинга.

Называйте это как хотите, такого быть не должно. Но это так: при правильном коде человек, который найдет потерянную метку AirTag, может быть невольно перенаправлен на поддельный веб-сайт, который выглядит как настоящая страница входа в iCloud . Затем они вводят свои данные, и их данные для входа немедленно отправляются на сервер хакера. Как это…

Кусок пирога, для тех, кто знает, что они делают. И, по словам Рауха, это всего лишь один пример того, как это можно использовать.
«Существует бесчисленное множество способов, которыми злоумышленник может стать жертвой конечного пользователя, обнаружившего утерянный AirTag. Поскольку AirTags были недавно выпущены, большинство пользователей не знают, что для доступа к странице https://found.apple.com вообще не требуется аутентификация. .. Дальнейшие атаки путем внедрения могут происходить через приложение Find My, которое используется для сканирования сторонних устройств, поддерживающих «режим пропажи» как часть сети Apple Find My», — объясняет Раух.
Раух сказал KrebsOnSecurity , что предупредил Apple об ошибке AirTags еще в середине июня. По его словам, в течение следующих трех месяцев Apple будет говорить, что расследует этот вопрос, только тогда, когда он будет спрашивать об этом. Затем, на прошлой неделе, Раух говорит, что получил электронное письмо от Apple, в котором говорилось, что они планируют исправить дыру в безопасности в будущем обновлении, и спросил, не будет ли он воздерживаться от публичного раскрытия информации.
Исследователь безопасности сказал, что готов работать с Apple, если она сможет ответить на некоторые вопросы, например, каковы сроки исправления, будет ли ему приписано обнаружение ошибки и будет ли он иметь право на вознаграждение за ошибку. Ответ Apple, по-видимому, был менее чем удовлетворительным. Ранее Раух сказал, что сообщит об ошибке через 90 дней, и именно это он и сделал.
К счастью, для Apple это должно быть довольно легко исправить. Будем надеяться, что они займутся этим раньше, чем позже. А пока вы можете проверить блог Рауха об уязвимости AirTugs для получения более подробной информации.

Источник (англ.)

Поставить оценку
Кофебрейкер | Интернет-журнал