На этой неделе компания FireEye опубликовала информацию, относящуюся к т. н. «Masque» уязвимости в iOS. Уязвимость позволяет установить вредоносное приложение поверх уже существующего, причем это новое приложение получит доступ ко всем файлам предыдущего. Это при условии того, что устанавливаемое приложение будет иметь тот же самый идентификатор «bundle identifier», который iOS & OS X используют для идентификации приложений на уровне ОС, например, при доставке им обновлений. Уязвимости подвержены все версии iOS начиная с 7.1.1, включая, последнюю iOS 8.1.1 beta.
В сценарии атаки с использованием этой уязвимости, пользователю в сообщении приходит ссылка на установку вредоносного приложения, которое маскируется под легитимное. Как и в случае с вредоносным ПО iOS/Wirelurker, о котором мы писали здесь, для установки приложения (IPA-контейнер) на iOS без jailbreak, вредоносная программа должна использовать метод «enterprise provisioning» и устанавливаемый файл должен быть подписан цифровым сертификатом выданным Apple. Это новое приложение должно иметь «bundle identifier» уже установленного приложения (но не того, которое является «родным» для iOS), что позволит ему при установке получить доступ ко всем файлам старого и в дальнейшем отправить их на сервер атакующих.
У нового приложения нет возможности перезаписать встроенное изначально в iOS приложение, например, браузер Safari или Mail, однако, используя общеизвестные «bundle identifier» других приложений, оно может получить доступ ко всем его конфиденциальным данным. Это могут быть данные онлайн-банкинга, личные сообщения и любая другая информация, которая интересует злоумышленников.
Преимущество метода «enterprise provisioning» заключается в том, что приложение, поставляемое по этой схеме можно не отправлять на подтверждение его безопасности компании Apple, как в случае с App Store. Кроме этого, для устройств без jailbreak это является практически единственным способом установки приложения на iOS в обход App Store. Подразумевается, что приложение будет подписано сертификатом, выданном компанией Apple, и этого достаточно для подтверждения его легитимности.
We designed OS X and iOS with built-in security safeguards to help protect customers and warn them before installing potentially malicious software. We're not aware of any customers that have actually been affected by this attack. We encourage customers to only download from trusted sources like the App Store and to pay attention to any warnings as they download apps. Enterprise users installing custom apps should install apps from their company's secure website.
Apple также обновила информацию по схеме «enterprise provisioning» в своей статье support.
Автор: esetnod32
