Apple si už dlouhou dobu hraje na bezpečnou platformu, což obhajuje tím, že nedovoluje do systému instalaci aplikací jiným způsobem, než přes obchod App Store. Přesto se ukázalo, že útočníci dokázali v systémech Applu najít díru a poměrně snadným trikem distribuovat škodlivé aplikace mezi uživatele iPhonů. O případu informovala bezpečností agentura Sophos.
Útočníci totiž k rozšíření aplikace využili známý nástroj Apple TestFlight, který se běžně používá k testování beta verzí aplikací. Vývojáři, kteří chystají vydat novou verzi aplikace mohou tímto způsobem sehnat testery, kteří skrze TestFlight mohou aplikaci před finálním vydáním v AppStoru řádně otestovat.
Takto vypadala falešná aplikace BTCBOX distribuovaná skrze TestFlight (obr.: Sophos)
Aplikací bylo dokonce vícero. Jednalo se o celou kriminální kampaň, kterou Sophos nazývá CryptoRom v rámci níž se útočníci snažili uživatelů doporučovat různé falešné aplikace. Jedna se jménem BTCBOX se například vydávala za japonskou kryptoměnovou směnárnu. Agentura našla i odkazy na testování falešných aplikací, které se vydávali za aplikace těžařské firmy BitFury.
Nevýhodou je, že všechny tyto aplikace se šířily skrze tento oficiální testovací kanál Applu bez jeho vědomí. Přitom skrze jedné kampaně v rámci Test Flight je možné aplikaci rozšířit až ke stovce uživatelů v rámci interních aplikací, kde probíhá omezenější kontrola, než u AppStoru. V případě veřejného testování, kterým lze oslovit až 10 tisíc lidí však aplikace kontrolou AppStoru neprochází.
Agentura zaznamenala ještě druhý způsob, jakým se někteří útočníci snažili do iPhonů dostat. Tím byli odkazy na škodlivé webové stránky, které se názvem i vzhledem podobaly některým kryptoměnovým či akciovým aplikacím. Skrze ně pak mohli uživatelé získávat údaje pomocí phishingu. Aktuálně nevíme, kolik lidí mohlo být tímto způsobem podvedeno, nicméně to, o jak jednoduchý způsob šlo je poměrně překvapivé a bude důležité sledovat, jak zakročí Apple. Zatím pouze firma aktualizovala svou stránku s upozorněním a radami, jak se proti phishingu bránit.
Tipy a triky pro iPhone:
