Επτά μοντέλα iPhone παραβιάστηκαν λόγω μεγάλης παραβίασης ασφαλείας… Είναι το όνομά σας στη λίστα;

Ερευνητές στον τομέα της κυβερνοασφάλειας ανακάλυψαν ένα νέο ελάττωμα ασφαλείας που επηρεάζει εκατομμύρια παλαιότερα iPhone.

Η ευπάθεια, που εντοπίστηκε από την εταιρεία ασφαλείας Paradigm Shift, επηρεάζει επτά δημοφιλή μοντέλα iPhone που τροφοδοτούνται από τα τσιπ A12 και A13 Bionic της Apple.

Οι συσκευές που επηρεάζονται περιλαμβάνουν τα iPhone XS, iPhone XS Max, iPhone XR, iPhone 11, iPhone 11 Pro, iPhone 11 Pro Max και iPhone SE (2ης γενιάς).

Οι ειδικοί προειδοποιούν ότι η ευπάθεια θα μπορούσε να επιτρέψει στους εισβολείς να αποκτήσουν βαθιά πρόσβαση στις επηρεαζόμενες συσκευές και να παρακάμψουν βασικές προστασίες ασφαλείας.

Μόλις παραβιαστούν, οι χάκερ μπορούν ενδεχομένως να κλέψουν προσωπικές πληροφορίες, να εγκαταστήσουν κρυφό λογισμικό υποκλοπής spyware και να αποκτήσουν έλεγχο σε ευαίσθητα μέρη του τηλεφώνου.

Το ελάττωμα είναι θαμμένο μέσα στον ίδιο τον επεξεργαστή, αντί στο λογισμικό της Apple, γεγονός που το κάνει ιδιαίτερα ανησυχητικό για τους ερευνητές ασφαλείας.

Σύμφωνα με το Paradigm Shift, η ευπάθεια βρίσκεται στο bootrom, τον πρώτο κωδικό που εκτελείται όταν το iPhone είναι ενεργοποιημένο.

Δεδομένου ότι το πρόβλημα υπάρχει σε επίπεδο υλικού, δεν μπορεί να εξαλειφθεί πλήρως με μια παραδοσιακή ενημέρωση λογισμικού.

Η Daily Mail επικοινώνησε με την Apple για σχόλια.

Οι άνθρωποι που το ανακάλυψαν ονόμασαν αυτήν την ευπάθεια «usbliter8».

Σε αντίθεση με πολλά ελαττώματα ασφαλείας που επιδιορθώνονται με τακτικές ενημερώσεις λογισμικού, αυτό το πρόβλημα προέρχεται από το ίδιο το υλικό.

Στο επίκεντρο του προβλήματος βρίσκεται το bootrom, το οποίο είναι ο πρώτος κώδικας που εκτελείται όταν ενεργοποιείται το iPhone.

Επειδή ο κώδικας είναι μόνιμα ενσωματωμένος στον επεξεργαστή κατά την κατασκευή, δεν μπορεί να ξαναγραφτεί αργότερα μέσω μιας τυπικής ενημέρωσης iOS.

Οι ερευνητές λένε ότι το ελάττωμα εκμεταλλεύεται τον ελεγκτή USB που είναι ενσωματωμένος στο τσιπ.

Κατά την εκκίνηση, ο ελεγκτής αποθηκεύει προσωρινά τα εισερχόμενα πακέτα δεδομένων USB σε μια μικρή περιοχή μνήμης που ονομάζεται buffer.

Στέλνοντας μια προσεκτικά κατασκευασμένη ακολουθία ασυνήθιστα μικρών πακέτων δεδομένων, οι ερευνητές ανακάλυψαν ότι μπορούσαν να χειραγωγήσουν τον ελεγκτή για να γράψουν πληροφορίες σε ένα προστατευμένο τμήμα της μνήμης όπου δεν θα έπρεπε ποτέ να τους επιτραπεί να πάει.

Το Paradigm Shift περιγράφει το πρόβλημα ως παράβλεψη σχεδιασμού υλικού και όχι ως σφάλμα λογισμικού.

Οι ερευνητές σημείωσαν ότι τα νεότερα iPhone δεν επηρεάζονται επειδή η Apple έχει αλλάξει τον υποκείμενο σχεδιασμό υλικού των επεξεργαστών επόμενης γενιάς της.

Είναι ενδιαφέρον ότι ορισμένες παλαιότερες συσκευές είναι επίσης άνοσες. Το τσιπ A11 που χρησιμοποιείται στο iPhone X αποφεύγει το πρόβλημα επειδή το πρόγραμμα οδήγησης USB του επαναφέρει έναν κρίσιμο δείκτη μνήμης μετά την επεξεργασία κάθε πακέτου δεδομένων, εμποδίζοντας τη λειτουργία του exploit.

Ενώ η ευπάθεια προκαλεί ανησυχίες στους ειδικούς σε θέματα ασφάλειας, οι πρακτικοί κίνδυνοι για τους περισσότερους χρήστες είναι περιορισμένοι.

Σε αντίθεση με πολλές κυβερνοεπιθέσεις που μπορούν να εκτελεστούν εξ αποστάσεως μέσω του Διαδικτύου, η εκμετάλλευση αυτού του ελαττώματος απαιτεί φυσική πρόσβαση σε συσκευές και εξειδικευμένο εξοπλισμό.

Ωστόσο, οι ερευνητές ασφαλείας προειδοποιούν ότι τα τρωτά σημεία σε επίπεδο υλικού είναι ένα από τα πιο δύσκολα προβλήματα που αντιμετωπίζονται επειδή παραμένουν ενσωματωμένα σε πυρίτιο πολύ καιρό μετά την έξοδο μιας συσκευής από το εργοστάσιο.

Τον Μάιο, οι χρήστες iPhone προειδοποιήθηκαν για μια απάτη μέσω γραπτών μηνυμάτων που εξάντλησε τραπεζικούς λογαριασμούς.

Η Barbara, κάτοικος της κομητείας Λάνκαστερ, η οποία ζήτησε να μην χρησιμοποιηθεί το επώνυμό της, έχασε 24.000 δολάρια αφού έλαβε ένα μήνυμα κειμένου που έγραφε «Apple High Alert», είπε στην τοπική θυγατρική του NBC WGAL.

Το μήνυμα ισχυριζόταν ότι είχαν γίνει ανάληψη χρημάτων από τον τραπεζικό του λογαριασμό, ζητώντας του να καλέσει έναν συγκεκριμένο αριθμό εάν δεν έβγαζε ο ίδιος τα χρήματα.

Όταν η Μπάρμπαρα τηλεφώνησε στον αριθμό, ένας άντρας είπε ότι ο λογαριασμός της είχε παραβιαστεί και οι χάκερ μπορούσαν να έχουν πρόσβαση στα κεφάλαιά της, προτρέποντάς την να στείλει τα χρήματά της σε μια ασφαλή τράπεζα — και έκανε ακριβώς αυτό.

Ακολουθώντας τις οδηγίες του απατεώνα, η Μπάρμπαρα πήγε στην τράπεζά της, έβγαλε τα χρήματα και τα μετέφερε στον λογαριασμό που της παρασχέθηκε.

Η Apple έχει προειδοποιήσει τους χρήστες για αυτό το είδος σχήματος, γνωστό ως κοινωνική μηχανική, μια στοχευμένη επίθεση που βασίζεται στην πλαστοπροσωπία, την εξαπάτηση και τη χειραγώγηση για να αποκτήσουν πρόσβαση στα προσωπικά σας δεδομένα.

Σε αυτήν την επίθεση, οι απατεώνες θα προσποιηθούν ότι είναι εκπρόσωπος μιας αξιόπιστης εταιρείας ή οντότητας μέσω τηλεφώνου ή μέσω άλλων μεθόδων επικοινωνίας.

Συχνά χρησιμοποιούν περίπλοκες τακτικές για να σας εξαπατήσουν ώστε να παραδώσετε προσωπικά στοιχεία, όπως διαπιστευτήρια σύνδεσης, κωδικούς ασφαλείας και οικονομικές πληροφορίες.