Регистрация    Войти
Авторизация
» » Экстренное обновление для iOS: Apple закрыла «дыру» на миллион долларов

Экстренное обновление для iOS: Apple закрыла «дыру» на миллион долларов

Категория: Новости hi-tech
Apple выпустила экстренное обновление для iOS (iOS 9.3.5), исправив три критические 0day уязвимости, которые могли быть использованы для удалённого получения доступа к устройству с максимальными правами. Именно за уязвимости такого рода компания Zerodium ранее предлагала вознаграждение в размере $1 млн.

Экстренное обновление для iOS: Apple закрыла «дыру» на миллион долларов

Накануне, в четверг, эксперты компаний Citizen Lab и Lookout Security сообщили об обнаружении уникального коммерческого шпионского ПО, предназначенного для атак на iOS.

Сложнейшая спайварь под названием Pegasus компрометирует iOS полностью, осуществляя удалённый джейлбрейк устройства. С её помощью был атакован iPhone известного правозащитника из ОАЭ Ахмеда Мансура, получившего вредоносную ссылку в sms-сообщении.
«Мы поняли, что перед нами находится нечто такое, чего никто и никогда не видел, — рассказал вице-президент Lookuot Майк Мюррей. — Фактически эта спайварь похищает всю информацию с вашего телефона, перехватывая каждый звонок и каждое текстовое сообщение. Она крадёт письма, контакты, звонки FaceTime. Также она выступает бэкдором для всех механизмов коммуникаций, которые только есть в вашем телефоне. Pegasus похищает данные из приложения Gmail, сообщения с Facebook, всю информацию с Facebook, все контакты, абсолютно все данные из Skype, WhatsApp, Viber, WeChat, Telegram и так далее».

При этом спайварь использует цепочку сразу из трех 0-day уязвимостей в iOS, получившую название Trident («Трезубец»):
  • CVE-2016-4657: RCE -уязвимость в движке веб-браузера WebKit, позволяющая удалённо выполнить произвольный код на устройстве, как только пользователь зайдёт на специально созданную страницу сайта;
  • CVE-2016-4655: уязвимость позволяет обойти Kernel ASLR (KASLR), при помощи чего можно раскрыть виртуальный адрес ядра в памяти iOS;
  • CVE-2016-4656: LPE-уязвимость позволяет приложению выполнить произвольный код с привилегиями ядра.

К слову, именно за уязвимости такого рода компания Zerodium предлагала вознаграждение в размере $1 млн.

Шпионская программа создана израильской компанией NSO Group, которая была основана в 2010 году и с тех пор занимается разработкой легальной малвари для правительств и спецслужб по всему миру.
Исследователи уведомили компанию Apple о бреши в безопасности раньше, чем об этом узнала общественность. Разработчикам Apple понадобилось более десяти дней, чтобы выпустить экстренное обновление до iOS 9.3.5.
Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь. Мы рекомендуем Вам зарегистрироваться либо зайти на сайт под своим именем.