潜在的に宣伝されているものではiPhone ユーザーに対する史上最大の攻撃の 1 つ, Googleは、一連のWebサイトがiPhoneにマルウェアを送り込むためにハッキングされ、それに関与したiOSの脆弱性が何年も検査されず発見されず、その後の攻撃もあったことを明らかにした。
このハッキングでは、毎週何千人もの訪問者が訪れる匿名サイトに、ゼロインタラクションのマルウェアがインストールされました。クリックやスクロールをまったく行わずにサイトにアクセスするだけで、ユーザーの iPhone に監視インプラントが提供される可能性があります。
Googleは、インプラントが「iMessage、写真、GPS位置情報などの個人データをリアルタイムで盗む」ことができることを実証した。また、データベース ファイルだけでなく、ユーザーのキーチェーンやパスワード データにもアクセスできました。送受信されたメッセージの平文が含まれるGoogle Hangoutsなどのメッセージングアプリだけでなく、WhatsApp、iMessage、Telegramなどのエンドツーエンド暗号化アプリでも利用できます。
iPhone を再起動すればマルウェアは消去されますが、感染中に取得された機密情報により、デバイス、ユーザー、およびオンライン生活が依然として攻撃に対して脆弱になる可能性があります。
サイトの選択は特定のコミュニティをターゲットにするように設計されているように見えましたが、攻撃はそれ以外は無差別でした。
マッシュ可能な光の速度
Google のセキュリティ研究イニシアチブ Project Zero が投稿した「非常に深く潜る」は、同社の脅威分析グループが発見し、2019 年 2 月に Apple に開示したエクスプロイトの詳細を説明しています。
チームは、14 個の脆弱性を利用した 5 つの「個別で完全かつ独自の」エクスプロイト チェーンを発見しました。いくつかはゼロデイでした。つまり、Apple はプロジェクト ゼロの発見時にそれらを認識していませんでした。 Apple は、Google が iOS 12.1.4 で与えた 7 日間の期限内にこれらにパッチを適用しました。同じ2月7日のアップデート悪名高いグループ FaceTime の脆弱性を修正しました。
この悪用は iOS 10 から iOS 12.1.2 のアップデートまで遡り、その期間の「ほぼすべてのバージョン」を網羅しています。
ツイートは削除された可能性があります
発見された Apple エクスプロイトの数は、過去 1 年間で急激に増加したようです。 7月末、Project Zeroが明らかにした6 つのゼロインタラクション セキュリティ バグiMessage を通じてのみ悪用される可能性があります。そのうち 5 つは Apple がパッチを適用することに成功したGoogleチームがそれらを明らかにするまでに。そして8月に、次のようなニュースが流れました。SQLiteの脆弱性で実証されているように、デフコン2019 年に iOS の連絡先アプリを使用し、影響を受けた Bluetooth ベースの「KNOB」攻撃に対する脆弱性すべての iPhone と iPad。
MashableはAppleにコメントを求めた。