David Hanak Op die webwerf van Felix Kraus, die ontwikkelaar agter die program vinnige baan, 'n baie interessante stukkie inligting het vandag na vore gekom met betrekking tot die nuutste metode om 'n uitvissing-aanval uit te voer wat tans moontlik is om op die iOS-platform uit te voer. Hierdie aanval teiken die toestelgebruiker se wagwoord en is veral gevaarlik omdat dit regtig eg lyk. En in so 'n mate dat die aangevallende gebruiker sy wagwoord op eie inisiatief kan verloor.
Dit kan wees jou interesseer
Felix op sy eie webwerf verteenwoordig 'n nuwe konsep van 'n uitvissing-aanval wat op iOS-toestelle kan kom. Dit gebeur nog nie (hoewel dit al vir etlike jare moontlik is), dit is slegs 'n demonstrasie van wat moontlik is. Logies wys die skrywer nie die bronkode van hierdie hack op sy webwerf nie, maar dit is nie onwaarskynlik dat iemand dit sal probeer nie.
Basies is dit 'n aanval wat 'n iOS-dialoogkassie gebruik om die gebruiker se Apple ID-rekeningwagwoord te kry. Die probleem is dat hierdie venster nie onderskei kan word van die regte een wat verskyn wanneer jy handelinge op iCloud of die App Store magtig nie.
Dit kan wees jou interesseer
Gebruikers is gewoond aan hierdie opspringer en vul dit basies outomaties in wanneer dit verskyn. Die probleem ontstaan wanneer die skepper van hierdie venster nie die stelsel as sodanig is nie, maar 'n kwaadwillige aanval. Jy kan sien hoe hierdie tipe aanval lyk in die beelde in die gallery. Felix se webwerf beskryf presies hoe so 'n aanval kan plaasvind en hoe dit uitgebuit kan word. Dit is genoeg dat die geïnstalleerde toepassing in die iOS-toestel 'n spesifieke skrif bevat wat hierdie gebruikerskoppelvlak-interaksie inisieer.
foto Gallery
Verdediging teen hierdie tipe aanval is relatief maklik, maar min sal dink om dit te gebruik. As jy ooit 'n venster soos hierdie kry, en jy vermoed iets is nie heeltemal reg nie, druk net die Home-knoppie (of sy sagteware-ekwivalent ...). Die toepassing sal op die agtergrond neerstort, en as die wagwoorddialoog regmatig was, sal jy dit steeds op jou skerm sien. As dit 'n uitvissing-aanval was, sal die venster verdwyn wanneer die toepassing toegemaak word. Jy kan meer metodes vind by skrywer se webwerf, wat ek aanbeveel om te lees. Dit is waarskynlik net 'n kwessie van tyd voordat soortgelyke aanvalle na toepassings in die App Store versprei.
bron: krausefx
So 'n aanval in 'n wettige toepassing sal waarskynlik nie Apple se beheer oorgaan nie, reg?
So weer, as jy nie 'n jailbreak het nie, het jy nêrens om dit te vang nie.
NS: Ek het nog nooit hierdie "gewone" stem gesien nie. Ek gebruik Touch ID oral ;-).
Wel, ek het haar al vandag gesien. En daar is geen TID op die iPad mini nie. Net gisteraand het ek 'n e-pos gekry dat iemand probeer aanmeld met my Apple ID vanaf Chrome op Windows. Ek het natuurlik dadelik die wagwoord soggens verander. Soggens, toe my SIM-vrye iPad mini op wifi en die internet kom, het dit as verlore en gesluit aangemeld, en ek het 'n boodskap daaroor in my e-pos gekry. Ek neem aan dat die verandering van die wagwoord alles opgelos het, maar almal moet regtig versigtig wees. Ek was die meeste verras deur die boodskap op die iPad se skerm, sien foto. Dit lyk nie vir my heeltemal standaard nie, en die e-posadres sê dit alles - dit is 'n bedrogspul en hulle wou my aanmeldbesonderhede kry.
… sien prentjie. https://uploads.disquscdn.com/images/81787f49f7358d75acc8a8265cc5014288f07bed46bceeca1254da2086501947.png
En watter soort App was dit, as ek mag vra?
Dankie.
Ek weet nie van enige toepassing nie, ek is van niks bewus nie. Ek gebruik die iPad min, feitlik amper enkeldoel, en sy toerusting van toepassings stem daarmee ooreen - 'n paar basiese dinge, niks anders nie, leeg. Afgesien van die af en toe opdatering (en daar is min), installeer ek niks regtig daar nie, so dit is die laaste van my toestelle waar ek so iets sou verwag.
En het jy Jailbreak?
Ja seker, ek is dom. Hulle het jou wagwoord gevat en "verlore toestel" gegee en 'n boodskap geskryf. Kwytskelding. Die vraag is hoe hulle jou wagwoord gekry het. Het jy dieselfde wagwoord vir verskeie dienste? Dit word op die internet uitgelek (kan op die webwerf gevind word https://haveibeenpwned.com waar voer jy jou e-posadres of gebruikersnaam in)?
Ek dink net dat die seuns dit nie in gedagte gehad het toe hulle vir jou die oorspronklike wagwoord gelos het nie, alhoewel dit wonderlik is vir jou, maar dit is wat hulle 'n kliek noem.
Ja, ek dink dit kon gewees het. Natuurlik het hy 'n rekord op daardie webwerf. Maar daar moet elke e-posadres ouer as 10 jaar wees. :-)
Ek het nie 'n jailbreak nie en het nog nooit.
Daar is ook nuwers :-) Al wat jy moes doen was om LinkedIn en Dropbox op die verkeerde tyd te hê en dit gebeur reeds met jou :-)
Heh, as ek een of ander tyd hieroor geskryf het nadat ek na 3GS oorgeskakel het, toe ek daaraan gedink het, kon ek "bekend" gewees het... Nee, geskiedenis speel nie rond nie :-D
Aan die ander kant, as die venster by my opkom en ek is nie bewus daarvan dat ek 'n interaksie met die AppStore sou inisieer nie, gee ek kanselleer sonder om die wagwoord in te vul...
Dit het net met my gebeur terwyl ek my iPhone geaktiveer het. Ek hoop dit is genoeg om 'n skip te gee. Ek vul slegs die wagwoord onder my e-pos in.