Найден способ исполнять неавторизованные команды на iPhone и iPad

Один из основных рубежей обороны мобильных устройств Apple от вредоносного программного обеспечения - это специфическая политика работы с приложениями: запускаться и затем успешно работать в памяти устройства могут только те программы, которые получили одобрение компании и имеют соответствующую электронную подпись. Исследователь Чарли Миллер, однако, нашел способ обойти этот контур защиты.


На следующей неделе на Тайване пройдет конференция SysCan, на которой специалист более подробно расскажет о своем открытии. Пока известно, что его метод внедрения вредоносных программ основан на эксплуатации изъяна в ограничительном механизме подписывания кода; этот механизм, как уже было сказано выше, разрешает запускать и исполнять на iPhone и iPad только те программы, которые были одобрены Apple. Злонамеренное использование такой уязвимости позволяет без ведома пользователя получать с удаленного сервера и отправлять на исполнение произвольные команды по усмотрению взломщика.

Есть, правда, одно "но": злоумышленнику все равно придется сначала доставить на устройство пользователя вредоносный агент, получивший одобрение в App Store. Г-н Миллер, впрочем, сумел это сделать: в качестве демонстрации он создал невинно выглядящий программный продукт, предназначенный якобы для отображения биржевых котировок, и получил одобрение на его размещение в магазине. "Тайный" функционал приложения под названием Instastock включал возможность соединения с удаленным сервером и получения инструкций от автора программы. Все команды, получаемые с сервера, исполнялись уже в обход ограничительных механизмов подписывания кода, так что потенциальный злоумышленник мог производить широкий спектр манипуляций с устройством - от включения виброзвонка до хищения личных сведений.

По словам исследователя, первые шаги к раскрытию уязвимости он сделал после выпуска iOS 4.3. Специалист обнаружил, что в целях повышения быстродействия Интернет-обозревателя Apple разрешила исполнение JavaScript-кода с внешних сетевых ресурсов на более глубоком уровне, нежели во всех предыдущих выпусках своей мобильной ОС. Особое программное исключение позволило браузеру использовать часть памяти устройства для запуска неавторизованных сценариев, что прежде было невозможным. Вскоре г-н Миллер обнаружил ошибку безопасности, допускающую применение этого исключения не только для обозревателя Интернета, но и вообще для любого приложения, установленного на телефоне или планшете.

Apple пока не дала комментариев по инциденту, но приняла оперативные меры: удалила концепт-вирус из магазина и аннулировала лицензию его разработчика.

Forbes

Письмо автору

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Забытые в коде ключи доступа к OpenAI API позволяют спиратить GPT-4

Разработчики, встраивающие технологии OpenAI в свои приложения, зачастую оставляют API-ключи в коде. Злоумышленники этим пользуются: собирают такие секреты из общедоступных проектов и расшаривают их в соцсетях и чатах, провоцируя пиратство.

Оказалось, что только на GitHub можно с легкостью заполучить более 50 тыс. ключей к OpenAI API, неумышленно слитых в паблик. Украденные данные позволяют использовать ассоциированный аккаунт OpenAI для бесплатного доступа к мощным ИИ-системам вроде GPT-4.

Недавно модераторы Discord-канала r/ChatGPT забанили скрипт-кидди с ником Discodtehe, который упорно рекламировал свою коллекцию ключей OpenAI API, собранных на платформе для совместной работы Replit. Такие же объявления доброхот с марта публиковал в канале r/ChimeraGPT, суля бесплатный доступ к GPT-4 и GPT-3.5-turbo.

Как выяснилось, скрейпинг API-ключей OpenAI на Replit тоже не составляет большого труда. Нужно лишь создать аккаунт на сайте и воспользоваться функцией поиска.

В комментарии для Motherboard представитель OpenAI заявил, что они регулярно сканируют большие публичные репозитории и отзывают найденные ключи к API. Пользователям рекомендуется не раскрывать сгенерированный токен и не хранить его в клиентском коде (браузерах, других приложениях). Полезно также периодически обновлять API-ключ, а в случае компрометации его следует немедленно сменить.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru