Зламати iPhone за 60 секунд

Колись ми всі секрети свої тримали у щоденниках та блокнотиках, зроблених із справжнього паперу та шкіряного.

палітурки.Сьогодні все це замінив смартфон, більше того, він став криницею не тільки думок і деяких малюнків, в сучасних смартфонах зберігається практично все життя власника. І дещо з цієї інформації не проти б отримати безліч компаній. Одні роблять це в обмін на надання різних безкоштовних послуг, коли ми передаємо дані соцмережам, інші воліють це робити потай, нічим не позначаючи свої дії. А є особлива категорія мисливців за нашим цифровим життям – хакери, які отримують все без попиту та безкоштовно.

Кішки мишки

Фахівці з безпеки разом зрозробниками ПЗ постійно змушені грати з хакерами в нескінченну гру, як кішки-мишки, вишукуючи слабкі місця, створюючи заплатки, покращуючи код програм, щоб їх було неможливо зламати. У свою чергу зловмисники теж шукають слабкі місця, уразливості, але не для того, щоб виправити, а скористатися ними для крадіжки даних. Навіть дуже великі софтверні корпорації не можуть передбачити всі моменти, чим складніше програмне забезпечення, тим більше шансів щось упустити. Що цікаво, є такі уразливості, зокрема, в iOS, які виявлені тільки хакерами, і більше ніким. Одна з таких кілька років не виявлялася фахівцями Apple, поки цю уразливість не знайшов сервіс Project Zero від Google.

Цей проект названий саме так на честь «зеродей»вразливостей (Zero day) тобто вразливостей тільки що відкритих, невідомих, нульового дня. Сам нульовий день, це час, коли розробник, нарешті, дізнається про існуючу проблему. З цього момент час пішло, від того, наскільки швидко встигнуть закрити діру в безпеці, залежить репутація компанії, в цей час уразливість стає публічною. Команда Project Zero працює в різних напрямках, не тільки зі своїм ПО, тому саме вони і знайшли проблему в iOS.

Сайти-зломщики

Насправді, самі сайти і їх власники, якправило, не в курсі, що вони стали небезпечними. Хакери, використовуючи вразливості серверів, впроваджують в них шкідливий код, який визначає відвідувача, тобто його пристрою, і підставляє потрібний код для виконання. Коли власник iPhone або іншого продукту Apple, потрапляє на такий сайт (вони цілком пристойні, навіть корисні, це іноді можуть бути і урядові організації), то код проводить атаку на пристрій. При успішної атаки на смартфон інсталювати шкідливе програмне забезпечення. Троян одразу починає збирати дані і відправляти їх на керуючий сервер.

У цих посланнях містяться всі контакти, можутьбути зображення, дані геолокації, дані встановлених додатків, в тому числі і банківських додатків, соціальних мереж, месенджерів. Зазвичай інтервал відправки даних становить раз на хвилину. На сайти впроваджувався код, який використовував комплексний підхід до атаки на пристрої, використовуючи при цьому більше дюжини вразливостей. У кого-то вони закриті після поновлення, у кого-то немає. Найбільше вразливостей використовувалося в Safari. Фахівці не назвали адреси сайтів, які були залучені в злом iPhone, але були повідомлені власники сайтів, хостери, відповідні служби. Ці сайти щодня відвідували тисячі чоловік.

При цьому, знайдені вразливості експлуатувалися не один рік, і найдієвішим методом боротьби з такими погрозами є своєчасне оновлення операційної системи і додатків.