|
|
零日攻击让App Store恶意软件窃取OS X和iOS的密码 灰鸽子下载,远程控制软件
研究人员已经发现了一个利用,可使OS X和iOS应用商店的恶意软件窃取密码和应用程序数据,以及劫持会话令牌。
安全研究人员发现主要缺陷在OS X和一个iOS,开门恶意软件。
利用允许恶意程序,进入应用商店绕过或忽略沙箱和其他安全保护抓住别人的密码应用的密钥链项,窃取数据从其他应用程序的私有数据存储、劫持网络端口,伪装成不同的应用来拦截某些通讯。
苹果的iOS应用程序存储和审查过程OS x是应该阻止恶意软件进入系统。
如果这堡垒失败,公司依靠沙盒,可以防止应用程序访问数据管理的应用程序和文件以外,除了通过非常严格定义的渠道。
然而,6个研究人员发现苹果如何检查的许多弱点,需要应用程序检查存储应用程序和应用程序之间的通信。
作者称之为“未经授权的深度资源访问,”他们XARA缩写。
王》的作者之一,印第安纳大学的计算机科学教授,在一次采访中说,“OS X提供了更丰富的功能。在这种情况下,它变得脆弱。”
研究人员说,他们通知苹果2014年10月,两次之后,并被告知需要六个月修复缺陷。作者还说,苹果要求2月他们的论文。(我们有一个请求,苹果置评。)这被认为是一个“零日”利用,因为它是立即投入恶意软件,但业内实践披露。
最小化研究者提出的攻击向量是什么,任何恶意应用程序已进入应用商店。
对苹果来说,不幸的是文章的作者能够提交并获得批准应用程序利用这些弱点。批准后立即删除他们,因为他们有他们的证据的概念。
摘要细节四个缺陷,其中三个是独一无二的OS x 电脑控制手机软件。
然而,没有实质性的变化,iOS可以受到一个或两个额外的利用指出如果某些类型的应用程序之间或系统数据存储的变化。
研究人员的分析显示,数以百计的免费应用程序最容易受到这些向量的攻击，手机监控软件。
敏捷,developer 1密码,周三回复了一篇博客文章,详细介绍该公司计划做什么,用户可以做些什么来保护自己。
xara后果
研究人员发现,大量的应用在Mac和iOS应用程序商店很容易受到这些攻击。
四裂纹路径
本文概述了四个独立的缺点:
密码盗窃通过整个系统的钥匙链。
容器破裂之间的应用程序,应用程序可以检索的内容,另一个沙箱应用表面上的私有数据存储。
网络套接字拦截恶意软件可以劫持交通流的应用程序。
计划劫持(iOS和mac OS X),在系统启动一个应用程序从另一个重定向的方法获取登录令牌或其他信息。
密码窃取。作者们发现,他们可以确定参数用于任何应用程序在钥匙链:“任何密钥链项实际上是公共的属性,虽然其内容(凭证)保护,”他们写道。
恶意应用程序获得访问密钥链项目标应用程序通过创建一个条目在受害者之前,或删除一个存在。在这两种情况下,给出了恶意软件访问与应用程序创建或重新创建条目时。
…[一]会攻击者需要做的是确定[原文如此]一个现有条目,删除它从钥匙链和创建一个新的具有相同属性的等待目标应用程序将其秘密。
目标应用程序可以检查访问控制列表(ACL)用于限制可以访问一个OS X钥匙扣条目,但这不是必需的或推荐的苹果。
研究人员攻击互联网帐户,帐户数据管理系统的首选项面板,包括iCloud密码,和Chrome浏览器的测试,但这项技术适用于任何应用程序。
变化介绍了OS X 10.10.3和10.10.4测试版包括一个元素用来抵制缺陷,但研究人员发现它无效。
容器破裂。每一个沙箱应用可能受保护的数据存储区域,但是,当应用程序想要与其他应用程序共享数据,这将打开一个弱点文章的作者可以利用。
而苹果强制唯一性的“包标识符”(收购)用于设置单独的数据存储容器在OS X,子系统不帮助相同的要求。一个恶意程序可以使用一个子系统本身的报价添加到ACL对另一个应用程序的主要数据容器,允许完全访问，灰鸽子远程控制软件。
研究人员执行端到端攻击Evernote,微信、QQ、资金控制、和其他列在附录中,应用程序通过与这种攻击嵌入式应用程序商店。
例如,从Evernote的集装箱,我们的攻击程序,涉及一个劫持的XPC服务目标应用程序的出价,成功地偷走了所有用户的联系和她的私人笔记～/图书馆/集装箱/ com.evernote.Evernote /账户/远程控制电脑软件。
网络套接字拦截。互联网运营使用地址和端口。地址是独一无二的一个给定的电脑或手机或其他设备。
端口就像公寓在一个公寓,每个都有一个特定的函数，灰鸽子使用教程，灰鸽子远程控制电脑。
在OS X操作系统,应用程序可以注册和使用港口沟通与浏览器。
提出了1密码的例子,浏览器扩展,与主要通信1密码应用。(再一次,1密码正在努力解决这个问题,并已offerd一些建议用户如何防止被攻击)。
恶意应用程序可以劫持一个港口之前注册的有针对性的应用,和拦截数据。
在1密码的情况下,恶意软件(也批准通过app Store)可以获取密码当用户登录到网络账户。
调用这个方法还允许曾经sidejacking:偷令牌用于识别用户的浏览器会话期间网站,然后使用该令牌。
计划劫持。计划是确定一种互联网或其他资源并将一些信息传递给它的形式的URL。例如,通用web方案“http”(如http://);所有iOS和mac OS X应用程序注册方案与系统允许其他应用程序传递数据或打开一个应用程序中的“深层链接”。
然而,苹果不需要独特的计划它独特的方式包id。任何应用程序可以注册与验证方案除了少数Apple-specific的。也没有为一个应用程序来确定,它是通过一个URL向右app-it不得不依靠操作系统。
文章的作者发现:
计划不是列表,它将被绑定到第一个应用程序注册在OS X上,最后一个iOS。
研究人员能够获取令牌绑定为其他应用程序在OS X,很少使用这种方法,和iOS,这是非常常见的,然后sidejack会话。一个概念验证他们指出劫持Facebook的方案,以便Pinterest应用程序请求一个令牌,和Facebook响应Pinterest应用的访问令牌然后抓住作者的恶意软件。
应用程序开发人员可以确定错误的应用程序重定向响应跑来跑去,Pinterest应用会知道一些这不会阻止出站劫持了悄无声息地抓住了令牌的。
验证,那么信任
作者进行了一系列的测试,以确定可能的应用程序是如何容易受到这些攻击和推倒1612免费应用,代表了每个主要类别中的前100名免费应用程序。198,使用这个系统的钥匙链上,应该容易,18岁的20个,他们证明可以利用随机选择。(两个Google apps是免疫。)
982年计划漏洞,Mac的应用程序有可能这个问题基于代码扫描,200和200随机选择的深入分析,发现脆弱。
印第安纳大学的王说,显然有更多的被发现在iOS,作为唯一的研究仍然是一些深入研究深度的问题。“如果我是一个强盗,我只想我的目标转移到iOS,”他说。
这些利用的短期的解决方案结合了新的建议和要求,应用程序开发人员,和额外的程序在应用程序商店评论。“应用程序商店所能做的就是运行类似至少标识别恶意应用程序,但至少这些脆弱的目标,”王说。
他的同事,博士生Luyi兴指出,“苹果应该做些事情来执行计划管理”。然而,兴说,这可以归结为作为一个设计问题,而不是一个应用程序的实现问题。在苹果需要一些深层思考,把一些开发人员负担的新身份验证和登记手续进入应用商店的需求。
因为缺陷只能利用应用程序进入应用商店,现在提供了一个防火墙。 |
|
加载中...
发表于 2015-6-18 16:19:00
发表于 2015-6-18 16:19:03