Розробка шкідливих додатків для iOS – справа непроста. Архітектура ОС передбачає запуск кожного окремого додатка. Такий підхід не дозволить іншим процесам використовувати ресурси і дані програми. Безпека пісочниці при такій архітектурі має найвищий пріоритет, оскільки всередині пісочниці можуть перебувати найважливіші документи, бази даних, бібліотеки та файли кукі.

Apple також робить все можливе для запобігання поширенню шкідливого ПЗ, змушуючи користувачів iPhone і iPad встановлювати всі додатки виключно зі свого магазину.


 

Незважаючи на всі вжиті розробником заходи, протягом декількох останніх років шкідливе ПО поширювалося на пристрої в обхід строгих обмежень шляхом експлуатації помилок дизайну. Такими шкідливий є WireLurker, YiSpecter, XCodeGhost, ZergHelper і AceDeceiver.

Дослідник безпеки з компанії Mi3 Security Чилік Тамір є автором різних технік обходу обмежень безпеки в iOS. Раніше він успішно продемонстрував підміну сертифіката Apple для установки шкідливого ПО на iPhone і iPad, а також представив на конференції Black Hat Asia в цьому році демонстраційний експлоїт для атаки Su-A-Cyder. Атака полягала у швидкій заміні легітимного ПЗ на підроблене при підключеному iPhone до комп'ютера. Подібну атаку було легко здійснити до виходу iOS 8.3.

Нова атака SandJacking, про яку розповів Securitylab, є по суті новим методом експлуатації Su-A-Cyder, але працює цей метод на новітній версії iOS. Проблема полягає в тому, що при усуненні уразливості, використовуваної для Su-A-Cyder, розробник усунув помилку в процесі установки програми. Однак ця ж вразливість може експлуатуватися під час відновлення оригінальної програми з використанням резервної копії.

Атакуючий може зробити резервну копію додатків, замінити в ній справжній файл на шкідливий і відновити додаток з використанням зміненої копії. Для успішної експлуатації уразливості потрібно фізичний доступ до пристрою.

Успішна атака SandJacking була продемонстрована в ході конференції Hack In The Box (HITB). Дослідник вже повідомив Apple про знайдену уразливість.

Залишити відповідь

Ваша e-mail адреса не оприлюднюватиметься. Обов’язкові поля позначені *

Поділитися

Кіберспорт може стати офіційною дисципліною на Олімпійських іграх 2024 року

Кількість глядачів великих киберспортівних чемпіонатів вже досягла такої позначки, що не рахуватися з цим було б нерозумно. Наприклад, за турніром Rift Rivals по League of Legends біля екранів спостерігали 28 мільйонів уболівальників. На піку трансляції The International, що зараз проходить в Сіетлі, було зафіксовано 7,5 мільйона глядачів. Не дивно, що кіберспорт привернув увагу з боку […]

MacBook Pro с диагональю в 13 дюймов уйдет в прошлое?

   Сразу несколько тайваньских производителей электронных компонентов распространили информацию о прекращении со второго полугодия выполнения заказов от американской компании Apple на различные элементы для фирменного ноутбука с диагональю монитора в 13 дюймов (производство ноутбуков с дисплеем в 15 дюймов было прекращено в середине 2013 года). Вместо них компания планирует увеличить объем производства моделей с Retina-дисплеем […]

Что делать, если iPhone не включается?

                                                Что делать, если iPhone не включается? Бывает так, что iPhone не включается и не реагирует на любые Ваши действия. Не стоит отчаиваться или впадать в панику. Просто зажмите, и подержите, в течение 12 […]