Gli hacker possono trasformare gli AirTag in macchine di phishing con questo semplice exploit

Mela

Gli ultimi problemi di sicurezza di Apple sono sia devastanti che ridicoli. La scorsa settimana, abbiamo appreso che la società ha corretto un exploit macOS nel modo più pigro possibile e ora l’azienda sta affrontando un contraccolpo per una vulnerabilità AirTags amatoriale di cui è nota da mesi e che non si è mai presa la briga di correggere.

Gli AirTag non disinfettano i "numeri di telefono"

Gli AirTag sono piccoli tracker che si attaccano a zaini, borse, bagagli e altri oggetti di valore. Se qualcuno perde la sua borsa dotata di AirTag, può tracciarne la posizione utilizzando la rete Trova la mia, che è alimentata in modo anonimo da iPhone e altri dispositivi Apple.

Ma il più delle volte, gli articoli smarriti vengono trovati da estranei. Ecco perché gli AirTag hanno una "modalità smarrita", un’impostazione che consente a Good Samaritans di scansionare il tracker per vedere il numero di telefono del suo proprietario. La scansione è facile: basta toccare l’AirTag con il tuo iPhone.

Sfortunatamente, un difetto di progettazione negli AirTag potrebbe trasformare i tracker in strumenti economici per attacchi drop. Come scoperto dal ricercatore di sicurezza Bobby Rauch, Apple non disinfetta il campo di immissione del numero di telefono che i proprietari di AirTag compilano durante l’impostazione dei loro tracker. Puoi inserire qualsiasi cosa in questo campo di immissione, incluso il codice dannoso.

E questo è un grosso problema. Quando esegui la scansione di un AirTag smarrito, fornisce il "numero di telefono" del suo proprietario al tuo iPhone. Il tuo iPhone incorpora quindi il "numero di telefono" in una pagina web https://found.apple.com/. Quindi, se il campo del numero di telefono di un AirTag smarrito è pieno di codice XSS dannoso, il sito Web di Apple lo incorporerà, senza fare domande.

Questa vulnerabilità rende estremamente facili i tentativi di phishing mirati. Un hacker può programmare una casella di accesso iCloud falsa in modo che venga visualizzata quando viene scansionato il suo AirTag "perso", ad esempio. Potrebbero quindi posizionare questo AirTag vicino all’auto o alla porta d’ingresso di una vittima per assicurarsi che venga scoperto e scansionato.

Gli hacker potrebbero anche utilizzare questa vulnerabilità per attivare exploit zero-day basati su browser su un iPhone. Questi exploit potrebbero mandare in crash o bloccare il tuo iPhone, ma per essere onesti, un tale exploit non gioverebbe davvero a un hacker (e ci sono modi molto più semplici per fornire tali exploit).

Mesi trascorsi di Apple seduto sulle sue mani

Bobby Rauch, il ricercatore che ha scoperto questa vulnerabilità, lo ha segnalato ad Apple il 20 giugno. La società ha trascorso tre mesi dicendo a Rauch che stava indagando sul problema e si è rifiutata di dirgli se avrebbe ricevuto credito o una taglia per la sua scoperta (questi sono i premi standard per aver seguito il programma di ricompense dei bug di Apple ).

Apple ha chiesto a Rauch di non "trapelare" il bug, ma si è rifiutata di lavorare con lui o di fornire una sequenza temporale per una patch. Ha avvertito l’azienda che avrebbe reso pubblica la vulnerabilità dopo 90 giorni e alla fine lo ha fatto in un post sul blog Medium. Tuttavia, Apple non ha commentato pubblicamente il problema, sebbene in precedenza avesse detto a Rauch che intende risolvere il problema.

Tecnicamente parlando, questa dovrebbe essere una soluzione molto semplice. Apple non ha bisogno di inviare un aggiornamento per iPhone o AirPods; deve solo fare in modo che la pagina web https://found.apple.com/ disinfetti i "numeri di telefono" in arrivo. Ma spero che Apple prenda le misure per risolvere completamente questo problema. L’azienda continua a commettere errori stupidi e a spingere patch a metà per cose che avrebbero dovuto essere sicure al momento del lancio.

Per non parlare del fatto che Apple si rifiuta di comunicare con le persone che cercano di segnalare problemi attraverso il suo programma ufficiale di ricompense dei bug. Se Apple prende sul serio la sicurezza, deve affrontare rapidamente le vulnerabilità del software e iniziare a trattare gli esperti di sicurezza con rispetto. Dopotutto, molti di questi esperti di sicurezza stanno facendo il lavoro di Apple gratuitamente.

È sicuro scansionare gli AirTag?

Questa notizia non dovrebbe scoraggiarti dalla scansione di AirTag, anche se dovrebbe renderti più vigile. Se ti viene chiesto di accedere a iCloud o a un altro account dopo aver scansionato un AirTag, ad esempio, allora qualcosa non va: Apple non richiede alcuna informazione di accesso quando viene scansionato un AirTag legittimo.

Un AirTag lasciato da solo è anche una bandiera rossa… una specie di. Poiché questi tracker non hanno anelli portachiavi integrati, possono cadere dalle borse o scappare da fondine economiche. Nella maggior parte dei casi, un AirTag solitario è il risultato di incuria.

Ad ogni modo, nessuno ti obbliga a scansionare gli AirTag. Se trovi un oggetto smarrito con un AirTag e non ti senti a tuo agio nella scansione, puoi portarlo all’Apple Store (o in una stazione di polizia, immagino) e farne il loro problema. Sappi solo che probabilmente non c’è nulla di male nella scansione, purché non digiti alcuna informazione di accesso nel popup del browser AirTags.

Fonte: Bobby Rauch tramite Krebs on Security, Ars Technica