O Google tem uma equipe chamada Grupo de Análises de Ameaças (TAG, na sigla em inglês) e foi ela que identificou várias páginas que, só de serem acessadas, exploravam falhas do iOS. As consequências eram alarmantes: o iPhone poderia ser invadido para roubo de dados do usuário (como fotos ou mensagens do WhatsApp) ou instalação de ferramentas de espionagem.
- Apple pagará até US$ 1 milhão para quem encontrar falhas no iOS
- O que é spam de calendário? Saiba como se proteger
Em postagem no blog do Project Zero, programa que o Google criou em 2014 com a proposta de descobrir falhas de segurança para a deixar a web mais segura, os pesquisadores da companhia revelam a descoberta de cinco cadeias de ataques que envolvem pelo menos 14 falhas de segurança que afetavam desde o iOS 10 ao iOS 12.
De modo geral, essas cadeias de ataques davam aos invasores acesso raiz (root) ao sistema operacional. Das 14 falhas identificadas, sete tinham relação com o Safari, cinco afetavam o kernel e as outras duas envolviam instâncias do sandbox (uma “área protegida” que limita o acesso de aplicativos a determinados recursos para fins de segurança).
Com o acesso raiz, os invasores podiam instalar aplicativos (para monitorar o usuário, por exemplo), acessar mensagens de serviços como WhatsApp e iMessage, capturar fotos, obter dados de geolocalização em tempo real, entre outros.
A pior parte é que o usuário não precisava realizar nenhuma ação específica. O simples acesso às páginas maliciosas já era suficiente para os exploits entrarem em ação. Se tivessem sucesso, o iPhone do usuário podia ser invadido. O Google estima que esses sites receberam milhares de visitadas.
Como sempre faz, o Google reportou as vulnerabilidades à Apple. Normalmente, o Project Zero estabelece um prazo de 90 dias após a notificação para que a empresa responsável disponibilize correções, do contrário, o Google dispara um alerta público sobre o problema.
Mas, por considerar as falhas muito graves, o Google deu um prazo de apenas sete dias. A Apple foi notificada em 1º de fevereiro de 2019 e liberou as correções em 7 de fevereiro com o lançamento do iOS 12.1.4.
Apesar de a Apple ter agido rápido após a notificação, os problemas demoraram para ser corrigidos. O TAG calcula que as falhas foram exploradas por pelo menos dois anos.
Não há estimativas sobre quantos usuários teriam sido afetados, mas o que mais importa é que as vulnerabilidades foram mitigadas, razão pela qual o Google concluiu que este é um bom momento para falar sobre elas.
É recomendável não baixar a guarda, porém. Os especialistas da companhia acreditam que há outras falhas do tipo sendo exploradas.
Com informações: TechCrunch.
Google revela falhas no iOS que permitiam invasão do iPhone
Google revela falhas no iOS que permitiam invasão do iPhonepublicado primeiro em https://tecnoblog.net
Nenhum comentário:
Postar um comentário