ハッカーはMasque Attack IIハックを使ってAppleのiPhoneとiPadからデータを盗むことができる

Table Of Contents

• Masque Attack II: Apple iOSにおいて、企業ユーザーのデータ盗難につながる別の重大な欠陥が検出されました。
• Masque II : URLのハイジャック

Masque Attack II: Apple iOSにおいて、企業ユーザーのデータ盗難につながる別の重大な欠陥が検出されました。

2014年11月、Fire Eyeの研究者たちは、攻撃者がSMS、メール、またはウェブブラウジングを使用して、正規のアプリを別のマルウェアが含まれたアプリに置き換えるために使用できる「Masque Attack」を特定しました。Appleはこの問題をiOS 8.1.3で修正したようです。現在、FireEyeの研究者たちは、Masqueよりも二重に危険な新しいバグを発見しました。FireEyeの研究者によって「Masque II」と名付けられたこのバグは、iPhoneとiPadをハッキングするために悪用される可能性があると警告されています。

Masque II : URLのハイジャック

FireEyeの研究者たちは、Masque Attack IIは2つの部分から成ることに注意しています：

a) 信頼のプロンプトをバイパスし、

b) URLスキームのハイジャック。

Hui Xueと彼の研究チームは、iOS 8.1.3が「プロンプトバイパス」に対して強化されているが、「iOS URLスキームハイジャック」に対しては依然として脆弱であると主張しています。

これを簡単な言葉で理解してみましょう。

1. 信頼のプロンプトをバイパス: ユーザーがSMSやメール、またはGoogle Inbox内のリンクをクリックすると、Apple iOSはユーザーの許可を求めることなく、ターゲットの企業署名アプリを起動します。通常、ユーザーがApp Storeから特定のアプリを初めてダウンロードする場合、「信頼する」または「信頼しない」と尋ねるプロンプトが表示されます。この場合、ユーザーがURLスキームを介してリンクをクリックしたため、プロンプトなしでアプリが直接ダウンロードされます。

FireEyeが調査したケースでは、ユーザーが以前に明確に「信頼しない」と言った不正なアプリに対しても、iOSはプロンプトを無視してアプリをダウンロードしました。Fire Eyeはこの問題をAppleに通知しました。

FireEyeの記事によると：「攻撃者はこの問題を利用して、Masque Attackを含むアプリを起動できます。ハイジャッカーは、正当な人気アプリが使用するのと同じアプリURLスキームを登録する企業署名のマルウェアを配布でき、正当なアプリのURLスキームをハイジャックし、そのUIを模倣してフィッシング攻撃を実行することができます。例えば、ログイン資格情報を盗むことです。」Apple iOSは、攻撃がプロンプトレベルで行われるため、ユーザーを保護できません。

2. URLスキームのハイジャック: これはマルウェア攻撃よりも機能の問題です。Apple iOSは、異なる開発者のアプリが同じURLスキームを共有することを許可していることが確認されました。再びFireEyeの研究者によると：「攻撃者は、App Storeに「攻撃的な」アプリを公開するか、正当な人気アプリのURLスキームと同じアプリURLスキームを登録する企業署名/アドホックマルウェアを作成して配布できます。これにより、攻撃者は正当なアプリのUIを模倣してフィッシング攻撃を実行し、ログイン資格情報を盗むか、2つの信頼されたアプリ間で共有されることを意図したデータを収集できます。」これは簡単に言うと、ユーザーはハイジャッカーの意図に従って悪意のあるアプリをダウンロードしてしまう可能性があり、その結果、iPhone/iPadユーザーの個人情報や財務情報が盗まれることになります。

FireEyeのHui Xue、Zhaofeng Chen、Song Jin、Yulong Zhang、Tao Weiのチームによると、iPhoneとiPadのユーザーは、Masque Attack IIに対してより注意を払う必要があります。これはまだ軽減されていないからです。

Apple iOSユーザーに提案される可能性のある対策：

• できるだけ早くデバイスを8.1.3バージョンに更新する

• ユーザーがSMSやメール、またはウェブサイトでリンクを受け取った場合は、マルウェアがダウンロードされる可能性があるため注意してください。

FireEyeは、Appleが彼らのプライベートな開示を無視したため、この脆弱性を公に開示したと述べています。以下にProof-of-Conceptビデオを示します：