Chyba iOS 11 umožňuje QR kódům přimět vás k návštěvě škodlivých webů
Foto: Thomas Leuthard/Flickr
Výzkumníci v oblasti bezpečnosti objevili ještě další chybu v iOS 11, která nechává uživatele zranitelné vůči škodlivým útokům.
Chybu vestavěné čtečky QR kódů lze zneužít k oklamání lidí, aby navštěvovali škodlivé webové stránky, které jsou zpočátku maskované jako nevinné.
Pokud používáte iOS 11 - což je drtivá většina uživatelů iPhone a iPad nyní upgradovali na - potom můžeš namiřte fotoaparát na QR kódy a přečtěte si je. Vestavěná aplikace Fotoaparát od společnosti Apple nyní automaticky rozpozná kód, než se zeptá, zda jej chcete otevřít.
Chyba QR kódu iOS 11
Je to šikovný nástroj, který neguje potřebu čtečky QR kódů třetích stran, ale potřebuje práci. Výzkumníci z InfoSec objevili chybu způsobem, jakým čtenář analyzuje adresy URL, které by mohly být zneužity k navádění uživatelů na škodlivé webové stránky.
Vložením adres URL do určitého formátu může útočník přimět iOS, aby uživatelům ukázal jeden web, ale poté je přesměroval na jiný. Níže uvedený QR kód například způsobí, že se vás iOS zeptá, zda chcete navštívit Facebook, ale když jej otevřete, místo toho vás přesměruje na web InfoSec.
Foto: InfoSec
Je snadné si představit, jak by toho útočníci mohli využít.
QR kód by mohl být vložen do phishingového e -mailu, který po naskenování kódu slibuje speciální nabídky nebo bezplatné příspěvky. Uživatelé pak mohou být přesměrováni na škodlivý web, který je navržen tak, aby vypadal autenticky, kde jsou podvedeni k předávání citlivých informací.
Jak je iOS oklamán
Aby útočníci využili tuto chybu, stačí do kódu vložit adresu URL ve formátu, jako je „ https://xxx\@facebook.com: [email protected]/. “
V tomto případě iOS vidí web jako „facebook.com“ - a to je vše, co uživateli ukazuje. Když je však adresa URL načtena do Safari, ve skutečnosti vede k „infosec.rm-it.de“.
Společnost InfoSec uvádí, že chybu nahlásila společnosti Apple v prosinci, ale společnost zatím neposkytla opravu. Dokud nebude problém odstraněn, doporučujeme po naskenování QR kódu znovu zkontrolovat adresy URL v adresním řádku Safari a ověřit, zda jsou pravé.
