David Hanák Na webu vývojáře Felixe Krause, který stojí za programem fastlane, se dnes objevila velmi zajímavá informace, týkající se nejnovějšího způsobu provedení phishing útoku, který je v současné době možné provést na iOS platformě. Tento útok cílí na heslo uživatele zařízení a nebezpečný je především proto, že vypadá opravdu reálně. A to až do takové míry, že by napadený uživatel mohl o své heslo přijít vlastní iniciativou.
Mohlo by vás zajímat
Felix na svém webu představuje nový koncept phishing útoku, který lze na iOS zařízení dostat. Zatím se tak neděje (byť je to možné již několik let), jedná se pouze o demonstraci toho, co je možné. Autor na svém webu logicky nevystavuje zdrojový kód tohoto hacku, není ale nepravděpodobné, že se o něj někdo nepokusí.
V podstatě jde o útok, který využívá dialogového okna v iOS k tomu, aby z uživatele dostal heslo k jeho Apple ID účtu. Problém je v tom, že toto okno je k nerozeznání od toho pravého, které se objevuje v případě autorizace úkonů na iCloudu či v App Store.
Mohlo by vás zajímat
Uživatelé jsou na toto vyskakovací okno zvyklí a jakmile se jim objeví, v podstatě automaticky jej vyplní. Problém nastane v případě, kdy není původce tohoto okna systém jako takový, ale zákeřný útok. Na snímcích v galerii se můžete podívat, jak takovýto typ útoku vypadá. Na Felixově webu je přesně popsáno, jak k takovému útoku může dojít a jak se dá zneužít. Stačí, aby nainstalovaná aplikace v iOS zařízení obsahovala specifický skript, který tuto interakci uživatelského rozhraní inicializuje.
Obrana proti tomuto typu útoku je poměrně snadná, málo koho by však napadlo jí použít. Pokud se vám podobné okno někdy objeví, a budete mít podezření, že to není zcela v pořádku, stačí stisknout Home Button (nebo jeho softwarový ekvivalent…). Aplikace se shodí na pozadí a pokud bylo dialogové okno s žádostí o vložení hesla legitimní, stále se vám bude zobrazovat na displeji. Pokud se jednalo o phishing útok, okno zmizí s uzavřením aplikace. Další metody najdete na webu autora, který doporučuji pročíst. Je asi jen otázka času, než se podobné útoky rozšíří do aplikací v App Store.
Zdroj: krausefx
Tak takovej utok by v legitimni aplikaci asi neprosel Apple kontrolou, ne?
Takze opet pokud nemas jailbreak, tak to nemas kde chytit.
PS: Jsem tuhle „regulerni“ hlasku jeste nikdy nevidel. Vsude pouzivam Touch ID ;-).
No tak já jsem jí už dnes viděl. A na iPadu mini není TID. Zrovna dnes v noci jsem dostal mail, že se někdo z prohlížeče Chrome pod Windows pokoušel přihlásit s mým Apple ID. Ráno jsem samozřejmě hned udělal změnu hesla. Dopoledne, když se můj iPad mini bez SIM dostal na wifi a internet, tak se hlásil jako ztracený a zamknutý, přičemž mi o tom přišla zpráva do mailu. Předpokládám, že tou změnou hesla jsem všechno vyřešil, ale každý by opravdu měl být na pozoru. Nejvíc mě zaskočila hláška na displeji toho iPadu, viz obrázek. To mi nepřipadá úplně standardní a ta mailová adresa u toho o tom vypovídá – je to podvrh a chtěli ze mě dostat přihlašovací údaje.
… viz obrázek. https://uploads.disquscdn.com/images/81787f49f7358d75acc8a8265cc5014288f07bed46bceeca1254da2086501947.png
A co to bylo za Appku, smím-li se zeptat?
Děkuji.
O žádné aplikaci nevím, nejsem si ničeho vědom. Ten iPad používám málo, prakticky skoro jednoúčelově a tomu odpovídá i jeho výbava aplikací – pár základních věcí, jinak nic, prázdno. Kromě občasných aktualizací (a je jich málo) tam vlastně ani nic neinstaluju, takže tohle je to poslední z mých zařízení, kde bych něco takového čekal.
A mas Jailbreak?
Jo jasně, já jsem tupan. Sebrali Vám heslo a dali „lost device“ a napsali zprávu. Pardon. Otázkou je, jak se k Vašemu heslu dostali. Máte stejné heslo pro více služeb? Je uniklé na internetu (dá se zjistit na stránkách https://haveibeenpwned.com kde zadáte email nebo username)?
Jenom si teda říkám, že chlapci to neměli domyšlené, když Vám nechali původní heslo, sice skvělý pro Vás, ale tomu se říká ze zadele klika.
Jo, asi tak to mohlo být. Na tom webu má samozřejmě záznam. Ale tam musí být snad každá mailová adresa starší 10ti let. :-)
Jailbreak nemám a nikdy jsem neměl.
Tam jsou i novější :-) Stačilo mít v nesprávnou dobu LinkedIn, Dropbox a už se to s Vámi veze :-)
Heh, kdybych o tomhle napsal někdy po přechodu na 3GS, kdy jsem o tom uvažoval, mohl jsem být „slavnej“… Njn, historie si na kdyby nehraje :-D
Na druhou stranu, pokud na mne to okno vyskočí a já si nejsem vědomej, že bych inicioval interakci s AppStore, tak dávám cancel bez vyplnění hesla…
Právě se mi to stalo při aktivaci iPhone. Doufám, že stačí dát přeskočit. Heslo vyplňuji jen pod svým emailem.