Investigadores del grupo Google Project Zero han descubierto una vulnerabilidad que es una de las mayores en la historia de la plataforma iOS. El malware malicioso aprovechó errores en el navegador web Safari para dispositivos móviles.
Ian Beer, experto en Google Project Zero, lo explica todo en su blog. Esta vez nadie tuvo que evitar los ataques. Bastaba con visitar un sitio web infectado para infectarse.
Los analistas del Threat Analysis Group (TAG) finalmente descubrieron un total de cinco errores diferentes que estuvieron presentes desde iOS 10 hasta iOS 12. En otras palabras, los atacantes podrían utilizar la vulnerabilidad durante al menos dos años desde que estos sistemas estuvieron en el mercado.
El malware utilizó un principio muy simple. Después de visitar la página, se ejecutaba un código en segundo plano que se transfería fácilmente al dispositivo. El objetivo principal del programa era recopilar archivos y enviar datos de ubicación a intervalos de un minuto. Y como el programa se copiaba a sí mismo en la memoria del dispositivo, ni siquiera esos iMessages estaban a salvo.
TAG, junto con Project Zero, descubrió un total de catorce vulnerabilidades en cinco fallas de seguridad críticas. Siete de ellos se referían a Safari móvil en iOS, otros cinco afectaban al núcleo del propio sistema operativo y dos incluso lograron eludir el sandboxing. En el momento del descubrimiento, no se había parcheado ninguna vulnerabilidad.
Los expertos del Proyecto Cero informaron sobre Los errores de Apple y les dio siete días según las reglas hasta la publicación. La empresa fue notificada el 1 de febrero y solucionó el error en una actualización lanzada el 9 de febrero en iOS 12.1.4.
La serie de estas vulnerabilidades es peligrosa porque los atacantes podrían difundir fácilmente el código a través de los sitios afectados. Dado que todo lo que se necesita para infectar un dispositivo es cargar un sitio web y ejecutar scripts en segundo plano, casi cualquiera estaba en riesgo.
Todo está explicado técnicamente en el blog en inglés del grupo Google Project Zero. La publicación contiene una gran cantidad de detalles y detalles. Es sorprendente cómo un simple navegador web puede actuar como puerta de entrada a su dispositivo. El usuario no está obligado a instalar nada.
Por tanto, la seguridad de nuestros dispositivos no es algo que debamos tomar a la ligera.
Petr Škuta 
David Hanak 
