Una falla en iOS de Apple puede ser explotada para robar el ID y la contraseña del usuario con un correo electrónico de phishing

La vulnerabilidad en el sistema iOS de Apple permite a los hackers robar el ID y la contraseña del usuario con un correo electrónico de phishing

Una demostración de un experto en seguridad muestra cómo aprovechar una susceptibilidad en el sistema iOS de Apple que puede ser explotada para cargar contenido HTML remoto arbitrario en la aplicación.

A principios de esta semana, Jan Soucek ( @jansoucek), un investigador checo, publicó un código de prueba de concepto (PoC) y un video para mostrar pruebas de sus hallazgos.

En enero, el experto descubrió que el cliente de correo electrónico de iOS (Mail.app) no considera la etiqueta HTML en los mensajes de correo electrónico. Esto permite a un hacker diseñar correos electrónicos que cargan contenido HTML remoto al abrirse.

“JavaScript está deshabilitado en este UIWebView, pero aún es posible construir un ‘colector’ de contraseñas funcional utilizando HTML y CSS simples”, dijo Soucek.

Un video (dado a continuación) publicado por el investigador demuestra cómo un hacker puede enviar un correo electrónico de phishing que solicita a los destinatarios que ingresen sus credenciales de iCloud. El nombre de usuario y la contraseña recolectados de la víctima son luego enviados de vuelta al hacker.

Los usuarios han señalado que tal ataque probablemente funcionará contra muchos usuarios de internet porque no es inusual que se les pida ingresar sus credenciales de iCloud y el cuadro de diálogo genuino creado por Apple es fácil de reproducir.

Soucek ha publicado el código fuente para un “kit de inyección” de iOS 8.3 en GitHub. El experto ha señalado que esto es solo una ilustración para mostrar la existencia de la susceptibilidad, que puede ser utilizada para otros ataques también y no solo para la recolección de credenciales.

“La vulnerabilidad puede ser utilizada para cualquier cosa que requiera etiquetas HTML no soportadas por Mail.app”, explicó Soucek.

Según el investigador, en enero, había llevado la falla a la atención de Apple a través del sistema de seguimiento de errores Radar de la compañía. Sin embargo, dado que Apple no ha tomado ninguna medida, ahora ha decidido divulgar la susceptibilidad al público.

Aunque esta semana Apple lanzó la primera beta de iOS 9 y la beta 4 de iOS 8.4; sin embargo, no está claro si estas versiones abordan la susceptibilidad. Incluso si las fallas se corrigen, estas variantes son actualmente solo para uso de desarrolladores.

Graham Cluley, analista de seguridad independiente, ha llamado la atención de todos sobre el código publicado por el investigador que podría ser utilizado por ladrones de identidad y hackers maliciosos.

“Aunque puedo entender su frustración con la falta de respuesta de Apple para solucionar el problema, Soucek podría haber presionado a la compañía demostrando la falla a los medios tecnológicos, en lugar de liberar código de explotación para un posible mal uso. Mientras tanto, mientras esperamos que Cupertino lance un parche, sería más sabio ejercer una extrema precaución cada vez que aparezca un pop-up inesperado mientras revisamos nuestra bandeja de entrada de Mail, o usar una aplicación de correo de terceros en su lugar”, escribió Cluley en una publicación de blog para Tripwire.

Video PoC :