Hackers exploram brecha grave no iPhone desde 2012

Uma nova falha crítica de segurança em dispositivos da Apple foi identificada por pesquisadores da ZecOPS. Segundo eles, a falha permite que iPhones e iPads possam ser invadidos pelo aplicativo nativo de e-mail, o 'Mail'.

De acordo com os pesquisadores, a vulnerabilidade permite que um invasor execute um código malicioso e infecte um dispositivo remotamente. Eles explicam que um e-mail simples pode consumir uma grande quantidade de RAM para tornar o uso do app inviável.

Estas "armadilhas", como relatado, podem dar acesso de leitura, modificação ou exclusão dos e-mails da vítima. A suspeita é de que os atacantes possam combinar esta falha com outra, que concede controle do dispositivo.

A análise da ZecOPS identificou que a vulnerabilidade atinge, por exemplo, dispositivos desde o iOS 6 (lançado em 2012), mas que vem sendo explorada desde 2018 no iOS 11.2.2 – nessa versão do sistema, o atacante pode acionar um golpe que sequer precisa que o e-mail seja aberto, e "o usuário não notará nada de anormal" no uso.

Vulnerabilidade descoberta no iOS pode afetar aplicativo de e-mail nativo.Fonte:  ZecOPS 

A falha também é abordada no iOS com a mesma função de clique-zero, quando o app está aberto em segundo plano, por exemplo.

Como destacado, a falha não é explorada amplamente por atacantes, mas sim em ataques direcionados. "O escopo do ataque consiste em enviar um e-mail especialmente criado para a caixa de entrada da vítima", dizem os pesquisadores. Entre os prováveis alvos identificados, eles destacam:

• Indivíduos de uma organização listada na 'Fortune 500' da América do Norte

• Um executivo de uma transportadora no Japão

• Uma figura importante da Alemanha

• Empresas de serviços gerenciados de segurança (MSSPs) da Arábia Saudita e Israel

• Um jornalista na Europa

• Alvo suspeito: um executivo de uma empresa suíça

Falha já "corrigida"

Os pesquisadores informaram a Apple sobre a falha no final de março, e a empresa lançou uma correção no iOS 13.4.5 beta em 15 e 16 de abril. Até o momento que esta nota era escrita, esta versão do sistema não havia sido liberada para o público.

A ZecOPS alerta que, para contornar a vulnerabilidade, "você pode usar a versão beta mais recente disponível" ou "considerar usar outros aplicativos de e-mail até que um patch esteja disponível". A análise identificou que Macs não são afetados.

Eles citam que, no iOS 13, os usuários não precisam realizar nenhuma ação para que a vulnerabilidade seja explorada. Já no iOS 12, é preciso que a vítima clique no e-mail malicioso. "Se um invasor controlar o servidor de e-mail, o ataque também poderá ser realizado sem nenhum clique no iOS 12", dizem os pesquisadores.

Atualmente sob investigação, eles tentam identificar como um invasor pode utilizar uma vulnerabilidade de kernel adicional que "forneceria acesso total ao dispositivo".

Neste momento, o ideal é deixar de usar o aplicativo Mail até que o iOS 13.4.5 seja disponibilizado. Atualmente, a versão pública do sistema está na versão '13.4.1'.