Pesquisadores do Project Zero (time de especialistas em segurança cibernética da Google) acabaram de divulgar uma série de novas vulnerabilidades presentes nas versões mais recentes do sistema iOS. Caso exploradas, as brechas podem ser utilizadas para instalar componentes de espionagem em iPhones — e tudo o que a vítima precisa fazer para ser infectada é acessar um website malicioso.
De acordo com um relatório técnico publicado pela equipe, foram detectadas pelo menos cinco cadeias de exploração distintas que abrangem várias edições do SO (desde as builds 10 até as compilações mais recentes, de número 12). Esses conjuntos de exploits totalizam nada menos do que 14 vulnerabilidades diferentes, sendo que sete delas se encontram no navegador Safari, cinco no kernel e duas brechas de sandbox escape.
Nenhuma interação é necessária para que a infecção aconteça — o usuário só precisa ter o azar de visitar um site malicioso. Um código inicia a exploração de brechas na engine WebKit para escalar privilégios e instalar um módulo spyware no dispositivo; uma vez instalado, tal componente seria capaz de extrair informações sensíveis do aparelho e enviar um “relatório” completo para um servidor remoto a cada 60 segundos.
Os dados roubados incluiriam mensagens do iMessage, fotos, geolocalização em tempo real, credenciais do chaveiro criptográfico (incluindo tokens de autenticação e certificados) e até mesmo arquivos locais de bancos de dados de apps de comunicação como WhatsApp e Telegram. De acordo com Ian Beer, foi possível identificar “uma pequena coleção” de websites hackeados sendo utilizados para distribuir tal spyware.
Felizmente, a Apple já consertou a maioria das vulnerabilidades necessárias para as cadeias de exploração na compilação mais recente do sistema operacional; sendo assim, a recomendação é que os usuários mantenham seus dispositivos sempre atualizados.
- Leia mais notícias sobre Vulnerabilidades.
Fonte: Google Project Zero