A Google Project Zero csoport kutatói felfedeztek egy sebezhetőséget, amely az iOS platform történetének egyik legnagyobbja. A rosszindulatú kártevő a mobil Safari webböngésző hibáit használta ki.
A Google Project Zero szakértője, Ian Beer mindent elmagyaráz a blogjában. Ezúttal senkinek sem kellett elkerülnie a támadásokat. Elég volt felkeresni egy fertőzött weboldalt a fertőzéshez.
A Threat Analysis Group (TAG) elemzői végül összesen öt különböző hibát fedeztek fel, amelyek iOS 10-től iOS 12-ig voltak jelen. Más szóval, a támadók legalább két évig használhatták a biztonsági rést, mióta ezek a rendszerek forgalomba kerültek.
A rosszindulatú program nagyon egyszerű elvet használt. Az oldal meglátogatása után egy kód futott le a háttérben, ami könnyen átkerült a készülékre. A program fő célja az volt, hogy egyperces időközönként fájlokat gyűjtsön és helyadatokat küldjön. És mivel a program bemásolta magát a készülék memóriájába, még az ilyen iMessage-ek sem voltak biztonságban tőle.
A TAG a Project Zero-val együtt összesen tizennégy sebezhetőséget fedezett fel öt kritikus biztonsági hibán belül. Ebből teljes hét az iOS-es mobil Safarihoz, további öt magához az operációs rendszer kerneléhez kapcsolódott, kettő pedig még a sandboxot is megkerülte. A felfedezés időpontjában semmilyen sebezhetőséget nem javítottak ki.
A Project Zero szakértői beszámoltak róla Az Apple hibáit, és a szabályok szerint hét napot adott nekik megjelenésig. A vállalatot február 1-jén értesítették, és a hibát az iOS 9-es verziójában február 12.1.4-én megjelent frissítésben javította ki.
A biztonsági rések sorozata veszélyes, mivel a támadók könnyen terjeszthetik a kódot az érintett oldalakon keresztül. Mivel az eszköz megfertőzéséhez csak egy webhely betöltése és a háttérben futó szkriptek szükségesek, gyakorlatilag bárki veszélyben volt.
Technikailag mindent elmagyaráz a Google Project Zero csoport angol blogja. A bejegyzés rengeteg részletet és részletet tartalmaz. Elképesztő, hogy egy egyszerű webböngésző hogyan tud átjáróként működni az eszközhöz. A felhasználó nem kényszerül semmit sem telepíteni.
Eszközeink biztonságát ezért nem érdemes félvállról venni.
Petr Škuta 
David Hanak 
