Найден способ исполнять неавторизованные команды на iPhone и iPad

Найден способ исполнять неавторизованные команды на iPhone и iPad

Один из основных рубежей обороны мобильных устройств Apple от вредоносного программного обеспечения - это специфическая политика работы с приложениями: запускаться и затем успешно работать в памяти устройства могут только те программы, которые получили одобрение компании и имеют соответствующую электронную подпись. Исследователь Чарли Миллер, однако, нашел способ обойти этот контур защиты.


На следующей неделе на Тайване пройдет конференция SysCan, на которой специалист более подробно расскажет о своем открытии. Пока известно, что его метод внедрения вредоносных программ основан на эксплуатации изъяна в ограничительном механизме подписывания кода; этот механизм, как уже было сказано выше, разрешает запускать и исполнять на iPhone и iPad только те программы, которые были одобрены Apple. Злонамеренное использование такой уязвимости позволяет без ведома пользователя получать с удаленного сервера и отправлять на исполнение произвольные команды по усмотрению взломщика.

Есть, правда, одно "но": злоумышленнику все равно придется сначала доставить на устройство пользователя вредоносный агент, получивший одобрение в App Store. Г-н Миллер, впрочем, сумел это сделать: в качестве демонстрации он создал невинно выглядящий программный продукт, предназначенный якобы для отображения биржевых котировок, и получил одобрение на его размещение в магазине. "Тайный" функционал приложения под названием Instastock включал возможность соединения с удаленным сервером и получения инструкций от автора программы. Все команды, получаемые с сервера, исполнялись уже в обход ограничительных механизмов подписывания кода, так что потенциальный злоумышленник мог производить широкий спектр манипуляций с устройством - от включения виброзвонка до хищения личных сведений.

По словам исследователя, первые шаги к раскрытию уязвимости он сделал после выпуска iOS 4.3. Специалист обнаружил, что в целях повышения быстродействия Интернет-обозревателя Apple разрешила исполнение JavaScript-кода с внешних сетевых ресурсов на более глубоком уровне, нежели во всех предыдущих выпусках своей мобильной ОС. Особое программное исключение позволило браузеру использовать часть памяти устройства для запуска неавторизованных сценариев, что прежде было невозможным. Вскоре г-н Миллер обнаружил ошибку безопасности, допускающую применение этого исключения не только для обозревателя Интернета, но и вообще для любого приложения, установленного на телефоне или планшете.

Apple пока не дала комментариев по инциденту, но приняла оперативные меры: удалила концепт-вирус из магазина и аннулировала лицензию его разработчика.

Forbes

Письмо автору

Карты с бензином под подозрением: Минэнерго заявило о риске сбора данных

Минэнерго России призвало автомобилистов осторожнее относиться к сайтам и сервисам, которые показывают наличие топлива на заправках. В ведомстве считают, что такие площадки могут быть опасны из-за возможного незаконного сбора персональных данных.

По данным министерства, с конца июня 2026 года резко выросла активность интернет-ресурсов, где пользователям предлагают смотреть, на каких АЗС есть бензин или другое топливо. Информация на таких сервисах якобы добавляется самими автомобилистами.

Но в Минэнерго настроены скептически. Ведомство заявило, что анализ опубликованных данных указывает на их недостоверность. Кроме того, специалисты заметили манипуляции сведениями о наличии топлива на заправках.

Проще говоря, если сервис показывает, что где-то точно есть бензин, это еще не значит, что он там действительно есть. Зато риск оставить свои данные на сомнительной площадке вполне реальный.

Предупреждение появилось на фоне сообщений СМИ о быстром росте популярности подобных проектов. Один из них — сервис «ГдеБенз» — якобы собрал около 2 млн посетителей всего за три дня.

При этом сам сервис утверждает, что не требует регистрации, не просит скачивать приложения и не собирает пользовательские данные.

Тем не менее Минэнерго советует не доверять таким ресурсам безоговорочно. Ведомство указывает, что информация о наличии топлива может быть неточной, а сами площадки — использовать интерес автомобилистов для сбора данных или распространения недостоверных сведений.

На днях мы также сообщали о новом зловреде для Android, который маскируется под видом сервиса поиска топлива.

RSS: Новости на портале Anti-Malware.ru