IOS 11 kļūda ļauj QR kodiem maldināt jūs apmeklēt ļaunprātīgas vietnes
Foto: Tomass Līthards/Flickr
Drošības pētnieki ir atklājuši vēl vienu kļūdu operētājsistēmā iOS 11, kas padara lietotājus neaizsargātus pret ļaunprātīgiem uzbrukumiem.
Iebūvētā QR koda lasītāja trūkumu var izmantot, lai pievilinātu cilvēkus apmeklēt ļaunprātīgas vietnes, kuras sākotnēji ir maskētas kā nevainīgas.
Ja izmantojat operētājsistēmu iOS 11 - to izmanto lielākā daļa iPhone un iPad lietotāju tagad ir jaunināti uz - tad vari norādiet kameru uz QR kodiem, lai tos izlasītu. Apple iebūvētā lietotne Kamera tagad automātiski atpazīst kodu, pirms jautā, vai vēlaties to atvērt.
iOS 11 QR koda kļūda
Tas ir ērts rīks, kas izslēdz nepieciešamību pēc trešās puses QR koda lasītāja, taču tam ir jāstrādā. InfoSec pētnieki atklājuši trūkumu veids, kādā lasītājs analizē URL, kurus varētu izmantot, lai novirzītu lietotājus uz ļaunprātīgām vietnēm.
Iekļaujot URL noteiktā formātā, uzbrucējs var pievilināt iOS, lai lietotājiem parādītu vienu vietni, bet pēc tam novirzītu uz citu. Piemēram, zemāk esošais QR kods liks iOS jums jautāt, vai vēlaties apmeklēt Facebook, bet, atverot to, tas jūs aizvedīs uz InfoSec vietni.
Foto: InfoSec
Ir viegli iedomāties, kā uzbrucēji varētu to izmantot.
Pikšķerēšanas e -pastā var tikt ievietots QR kods, kas sola īpašus piedāvājumus vai bezmaksas piedāvājumus, kad kods tiek skenēts. Pēc tam lietotāji var tikt novirzīti uz ļaunprātīgu vietni, kas ir veidota tā, lai tā izskatītos patiesa, un tur viņi tiek maldināti nodot sensitīvu informāciju.
Kā iOS tiek maldināts
Lai izmantotu šo trūkumu, uzbrucējiem vienkārši jāiekļauj URL kodā, izmantojot formātu, piemēram, “ https://xxx\@facebook.com: [email protected]/. ”
Šajā gadījumā iOS vietni uzskata par “facebook.com” - un tas ir viss, kas lietotājam tiek parādīts. Bet, kad URL tiek ielādēts Safari, tas faktiski noved pie “infosec.rm-it.de”.
InfoSec saka, ka decembrī tā ziņoja Apple par kļūdu, taču uzņēmums vēl nesniedz labojumu. Kamēr problēma nav novērsta, iesakām vēlreiz pārbaudīt URL Safari adreses joslā, lai pēc QR koda skenēšanas pārliecinātos, ka tie ir īsti.
