Napaka v sistemu iOS 11 omogoča, da vas QR kode zavedejo k obisku zlonamernih spletnih mest

Varnostni raziskovalci so v sistemu iOS 11 odkrili še eno napako, zaradi katere so uporabniki ranljivi za zlonamerne napade.

Pomanjkljivost vgrajenega bralnika kod QR je mogoče izkoristiti, da bi ljudi zavedeli k obisku zlonamernih spletnih mest, ki so sprva prikrita kot nedolžna.

Če uporabljate iOS 11 - kar je velika večina uporabnikov iPhone in iPad zdaj nadgradili na - potem lahko usmerite fotoaparat na kode QR, da jih preberete. Appleova vgrajena aplikacija Camera zdaj samodejno prepozna kodo, preden vpraša, ali jo želite odpreti.

Napaka QR kode iOS 11

To je priročno orodje, ki zanika potrebo po bralniku QR kod drugega proizvajalca, vendar potrebuje delo. Raziskovalci na InfoSec odkrili pomanjkljivost na način, na katerega bralec razčlenjuje URL -je, ki bi jih lahko uporabili, da bi uporabnike pripeljali do zlonamernih spletnih mest.

Z vdelavo URL -jev v določeno obliko lahko napadalec prevari iOS, da uporabnikom prikaže eno spletno mesto, nato pa jih pripelje do drugega. Na primer, spodnja koda QR bo povzročila, da vas iOS vpraša, ali želite obiskati Facebook, ko pa ga odprete, vas bo namesto tega odpeljal na spletno mesto InfoSec.

Preprosto si je predstavljati, kako bi napadalci to lahko izkoristili.

Kodo QR bi lahko vdelali v lažno e -poštno sporočilo, ki ob skeniranju kode obljublja posebne ponudbe ali brezplačne ponudbe. Uporabnike lahko nato pripeljejo do zlonamernega spletnega mesta, ki je zasnovano tako, da je videti pristno, kjer jih na prevaro izročijo občutljive podatke.

Kako se iOS zavede

Za izkoriščanje pomanjkljivosti morajo napadalci preprosto vstaviti URL v kodo v obliki, kot je » https://xxx\@facebook.com: [email protected]/. "

V tem primeru iOS vidi spletno mesto kot »facebook.com« - in to je vse, kar prikaže uporabniku. Ko pa se URL naloži v Safari, to dejansko vodi do »infosec.rm-it.de«.

InfoSec pravi, da je napako Apple prijavil decembra, vendar podjetje še ni zagotovilo popravka. Dokler težave ne odpravite, priporočamo, da v naslovni vrstici Safarija dvakrat preverite URL-je, da se prepričate, da so resnični po skeniranju kode QR.