Ir al contenido principal

Los iPhone llevan años siendo «hackeados» por páginas webs, según un estudio de Google


El grupo de análisis de amenazas del gigante de internet descubre hasta 14 vulnerabilidades que permitía colar «malware» y robar datos a los usuarios.



El grupo de análisis de amenazas de Google (TAG) ha dado a conocer el descubrimiento de un peuqeño número de páginas webs hackeadas que desde hace dos años atacaban a los usuarios de iPhone aprovechando una vulnerabilidad en el sistema operativo iOS, accediendo a su servidor e implantando un sistema de monitorización en el dispositivo cuando entraban en ellas que permitía el acceso de los «hackers» a todos los datos del usuario.
De acuerdo con una publicación del blog de Project Zero, el equipo de Google que se dedica a investigar las vulnerabilidades de seguridad «día cero», los ciberdelincuentes «han hecho un esfuerzo constante para hackear a los usuarios de iPhones en ciertas comunidades durante un periodo de al menos dos años», afirma un miembro de su equipo, Ian Beer.

El sistema de ataque consistía en que el usuario entraba en la página web «hackeada», y el atacante podía acceder a su servidor e instalar un sistema de monitorización en su dispositivo que permitía obtener el control absoluto del mismo y con ello el acceso a todos sus datos. Según Beer, «estas páginas reciben miles de visitantes por semana».

Se trata de un ataque de tipo «abrevadero» («watering hole», en inglés), una estrategia en la que los atacantes observan los sitios web que visita un grupo de víctimas e infecta uno de ellos con «malware», logrando así infectarlos.
TAG ha descubierto cinco cadenas de explotación («exploit») de los móviles iPhone que afectaban a versiones desde iOS 10 hasta la última de iOS 12. En total han encontrado catorce vulnerabilidades, que han sido siete del navegador web de iPhone, cinco para el núcleo y dos «sandbox» separados -un aislamiento de procesos que usa el sistema para ejecutar programas-, que permiten introducir código malicioso en un dispositivo desde el exterior.

Beer afirma que Google le comunicó esta situación a Apple el 1 de febrero de 2019 poniéndole como fecha límite una semana para que solucionara el problema, que coincidía con el lanzamiento del iOS 12.1.4. Apple lanzó un parche para corregir la vulnerabilidad el 7 de febrero, hecho que hizo público a través de su página web.

La nueva versión, que se ha llamado iOS 12.4.1, no incluye modificaciones importantes en el funcionamiento del sistema operativo, y se distribuye desde este lunes como una actualización oficial. Apple ha agradecido en su página de soporte la contribución del investigador Ned Williamson de Project Zero y del usuario Pwn20wnd en el descubrimiento del problema.

La vulnerabilidad, conocida como CVE-2019-8605, permitía explotar una brecha del sistema operativo con la que era posible que un atacante ejecutara código de forma arbitraria y accediera a los privilegios del sistema. La nueva versión de iOS 12.4.1 parchea este fallo de seguridad.

El «exploit» que aprovechaba esta brecha fue publicado por los «hackers» en la red el pasado 19 de agosto, como descubrió Pwn20wnd, y se trataba de un «jailbreak»« -proceso de suprimir algunas de las limitaciones impuestas por Apple en sus sistemas- que podía funcionar como «malware» espía y que a pesar de que se había solucionado en la versión anterior (12.3), reapareció de nuevo en iOS 12.4, como recoge Motherboard.

La actualización de iOS 12.4.1 ya está disponible para los teléfonos iPhone 5S y posteriores, las tabletas iPad Air y posteriores y el iPod Touch de la sexta generación. Apple también ha distribuido las actualizaciones tvOS 12.4.1, watchOS 5.3.1 y una versión complementaria de macOS Mojave 10.14.6 que soluciona el problema en el resto de sus sistemas propios.

Esta incidencia llega después de los seis errores de seguridad identificados por los expertos de Google Project Zero tras el lanzamiento de la versión de iOS 12.4 a finales de julio, que exponían funciones del sistema sin necesidad de intervención del usuario.


Comentarios

Entradas populares de este blog

Se confirma que el CES 2021 será un completamente online

Pese a que la CTA ha intentado hasta el último momento que fuera un evento físico. El CES, la conferencia tecnológica más importante del mundo, será una “experiencia totalmente digital” en 2021, según han confirmado desde la CTA, la Asociación Tecnológica de Consumo que se encarga de organizar el evento cada año. El anuncio ha corrido a cargo del CEO de la CTA, Gary Shapiro, en un vídeo que ha servido para que asistentes, trabajadores de la industria y periodistas anulen su viaje a Las Vegas el próximo mes de septiembre. La edición de este año del CES fue una de las últimas conferencias tecnológicas que tuvieron lugar en un entorno físico. El  Parece que el IFA de Berlín de este año sigue adelante de alguna forma u otra el próximo septiembre, y hasta hace poco parecía que desde la CTA también esperaban que la Feria de Electrónica de Consumo (CES) de 2021 también sería así. Al llevar el CES 2021 al mundo virtual, la CTA espera que puedan ofrecer igualmente una plataforma...

Nueva Tablet HP Omni 10

Microsoft ha puesto a la venta en su tienda oficial una nueva Tablet de HP  con su sistema operativo Windows 8.1. Nos sorprende que no hayan hecho una presentación oficial pero el nuevo dispositivo HP Omni 10 ya está a la venta. Estamos ante una Tablet con pantalla de 10,1 pulgadas , con una gran resolución  de 1920×1200 píxeles . Entre las especificaciones de la pantalla valoramos que cuenta con protección Gorilla Glass 3 , y el panel es IPS. El hardware a cargo del gigante   Intel , coloca en ella lo último de sus procesadores móviles, un Atom Z3770 . Este elemento de la familia de procesadores Bay Trail destaca por estar gestado con tecnología de fabricación de 22nm. Las críticas describen un gran comportamiento por parte de la CPU, no tanto de la GPU (Intel Gen 7), y de una buena gestión del consumo de la batería. El modelo concreto de la Tablet HP es un cuatro núcleos que funciona normalmente a 1,46GHz, pero puede pasar cuando es necesario a un modo t...

«Hackeo» masivo a cajeros automáticos de Europa para que escupan dinero sin control

La firma rusa de seguridad cibernética Grupo IB desvela en un informe cómo la ciberdelincuencia ha conseguido atacar de forma remota varias máquinas en más de una docena de países europeos. Entre ellos, España. Hace tiempo que los cajeros automáticos son objetivo de los ciberdelincuentes. Y cada vez más, este tipo de ataques se diseñan y se ejecutan con las mejores técnicas. Muestra de ello es la última hazaña que ha descubierto la firma rusa de seguridad cibernética Grupo IB : la ciberdelincuencia ha conseguido atacar de forma remota varios cajeros automáticos en más de una docena de países europeos. Entre ellos, España. Los ataques se han producido a lo largo de este año mediante la utilización de un «software» malicioso que obliga a las máquinas a escupir dinero en efectivo, según ha explicado la compañía en una información que recoge la agencia Reuters. Diebold Nixdorf y NCR Corp, los dos mayores fabricantes de cajeros automáticos del mundo, han dicho que eran conscientes de lo...