Hackers podem transformar AirTags em máquinas de phishing com esta simples exploração

maçã

Os últimos problemas de segurança da Apple são devastadores e risíveis. Na semana passada, descobrimos que a empresa corrigiu uma exploração do macOS da maneira mais preguiçosa possível e agora a empresa está enfrentando uma reação por uma vulnerabilidade amadora do AirTags que é conhecida há meses e nunca se preocupou em corrigir.

AirTags não higienizam “números de telefone"

AirTags são pequenos rastreadores que se prendem a mochilas, bolsas, malas e outros objetos de valor. Se alguém perder sua bolsa equipada com AirTag, poderá rastrear sua localização usando a rede Find My, que é alimentada anonimamente por iPhones e outros dispositivos Apple.

Mas, na maioria das vezes, artigos perdidos são encontrados por estranhos. É por isso que as AirTags têm um “modo perdido”, uma configuração que permite que os bons samaritanos escaneiem o rastreador para ver o número de telefone de seu proprietário. A digitalização é fácil – basta tocar no AirTag com seu iPhone.

Infelizmente, uma falha de design nas AirTags pode transformar os rastreadores em ferramentas baratas para ataques de queda. Conforme descoberto pelo pesquisador de segurança Bobby Rauch, a Apple não higieniza o campo de entrada do número de telefone que os proprietários do AirTag preenchem ao configurar seus rastreadores. Você pode colocar qualquer coisa neste campo de entrada, incluindo código malicioso.

E isso é um grande problema. Quando você digitaliza um AirTag perdido, ele fornece o “número de telefone” do proprietário ao seu iPhone. Seu iPhone então incorpora o “número de telefone” em uma página da web https://found.apple.com/. Portanto, se o campo de número de telefone de um AirTag perdido estiver cheio de código XSS malicioso, o site da Apple o incorporará, sem perguntas.

Essa vulnerabilidade torna as tentativas de phishing direcionadas extremamente fáceis. Um hacker pode programar uma caixa de login falsa do iCloud para aparecer quando sua AirTag “perdida” for verificada, por exemplo. Eles podem então plantar esta AirTag perto do carro ou da porta da frente da vítima para garantir que ela seja descoberta e escaneada.

Os hackers também podem usar essa vulnerabilidade para acionar explorações de dia zero baseadas em navegador em um iPhone. Essas explorações podem travar ou bloquear seu iPhone, mas, para ser justo, tal exploração não beneficiaria realmente um hacker (e existem maneiras muito mais fáceis de fornecer tais explorações).

A Apple passou meses sentada em suas mãos

Bobby Rauch, o pesquisador que descobriu essa vulnerabilidade, relatou à Apple em 20 de junho. A empresa passou três meses dizendo a Rauch que estava investigando o problema e se recusou a dizer se ele receberia crédito ou recompensa por sua descoberta (essas são recompensas padrão por seguir o programa de recompensas de bugs da Apple ).

A Apple pediu a Rauch que não “vazasse” o bug, mas se recusou a trabalhar com ele ou fornecer um cronograma para um patch. Ele alertou a empresa de que tornaria pública a vulnerabilidade após 90 dias e, finalmente, o fez em uma postagem no blog do Medium. Ainda assim, a Apple não comentou o problema publicamente, embora tenha dito anteriormente a Rauch que pretende corrigir o problema.

Tecnicamente falando, isso deve ser uma correção muito fácil. A Apple não precisa enviar uma atualização para o iPhone ou AirPods; ele só precisa fazer com que a página https://found.apple.com/ limpe os “números de telefone” recebidos. Mas espero que a Apple tome as medidas para resolver completamente esse problema. A empresa continua cometendo erros estúpidos e empurrando patches meia boca para coisas que deveriam estar seguras no lançamento.

Sem mencionar que a Apple se recusa a se comunicar com pessoas que tentam relatar problemas por meio de seu programa oficial de recompensas por bugs. Se a Apple leva a sério a segurança, ela precisa enfrentar as vulnerabilidades de software rapidamente e começar a tratar os especialistas em segurança com respeito. Afinal, muitos desses especialistas em segurança estão fazendo o trabalho da Apple de graça.

É seguro digitalizar AirTags?

Esta notícia não deve desencorajá-lo a digitalizar AirTags, embora deva torná-lo mais vigilante. Se for solicitado que você faça login no iCloud ou em outra conta após a verificação de uma AirTag, por exemplo, algo está acontecendo – a Apple não solicita nenhuma informação de login quando uma AirTag legítima é verificada.

Uma AirTag deixada sozinha também é uma bandeira vermelha… mais ou menos. Como esses rastreadores não possuem presilhas de chaveiro integradas, eles podem cair de bolsas ou escapar de coldres baratos. Na maioria dos casos, um AirTag solitário é o resultado de descuido.

De qualquer forma, ninguém está forçando você a escanear AirTags. Se você encontrar um item perdido com uma AirTag e não se sentir à vontade para escaneá-lo, você pode levá-lo à Apple Store (ou a uma delegacia de polícia, eu acho) e torná-lo seu problema. Apenas saiba que provavelmente não há mal nenhum em escaneá-lo, desde que você não digite nenhuma informação de login no pop-up do navegador AirTags.

Fonte: Bobby Rauch via Krebs em Segurança, Ars Technica