IOS 11 hatası, QR kodlarının sizi kötü amaçlı web sitelerini ziyaret etmeniz için kandırmasına olanak tanır

Güvenlik araştırmacıları, iOS 11'de kullanıcıları kötü niyetli saldırılara karşı savunmasız bırakan başka bir hata keşfetti.

Yerleşik QR kod okuyucudaki kusur, insanları başlangıçta masummuş gibi görünen kötü niyetli web sitelerini ziyaret etmeleri için kandırmak için kullanılabilir.

iPhone ve iPad kullanıcılarının büyük çoğunluğunun kullandığı iOS 11 kullanıyorsanız şimdi yükseltildi - o zaman yapabilirsin okumak için kameranızı QR kodlarına doğrultun. Apple'ın yerleşik Kamera uygulaması artık kodu açmak isteyip istemediğinizi sormadan önce otomatik olarak tanıyor.

iOS 11'in QR kodu hatası

Üçüncü taraf QR kod okuyucu ihtiyacını ortadan kaldıran kullanışlı bir araçtır, ancak çalışması gerekir. InfoSec'teki araştırmacılar bir kusur keşfetti okuyucunun, kullanıcıları kötü niyetli web sitelerine yönlendirmek için kullanılabilecek URL'leri ayrıştırma şekli.

Bir saldırgan, URL'leri belirli bir biçimde gömerek, iOS'u kullanıcılara bir web sitesini göstermesi için kandırabilir ve ardından onları başka bir web sitesine yönlendirebilir. Örneğin, aşağıdaki QR kodu iOS'un size Facebook'u ziyaret etmek isteyip istemediğinizi sormasına neden olacak, ancak açtığınızda bunun yerine sizi InfoSec web sitesine götürecek.

Saldırganların bundan nasıl yararlanabileceğini hayal etmek kolaydır.

Bir QR kodu, kod tarandığında özel teklifler veya ücretsiz teklifler vaat eden bir kimlik avı e-postasına yerleştirilebilir. Kullanıcılar daha sonra, hassas bilgileri teslim etmeleri için kandırıldıkları, orijinal görünmek üzere tasarlanmış kötü niyetli bir web sitesine yönlendirilebilir.

iOS nasıl kandırılır

Kusurdan yararlanmak için, saldırganların " gibi bir biçim kullanarak koda bir URL yerleştirmesi yeterlidir. https://xxx\@facebook.com: [email protected]/.”

Bu durumda, iOS web sitesini "facebook.com" olarak görür ve kullanıcıya gösterdiği tek şey budur. Ancak URL Safari'ye yüklendiğinde, aslında "infosec.rm-it.de"ye yol açar.

InfoSec, hatayı Aralık ayında Apple'a bildirdiğini, ancak şirketin henüz bir düzeltme sağlamadığını söyledi. Sorun giderilene kadar, bir QR kodunu taradıktan sonra orijinal olduklarını doğrulamak için Safari'nin adres çubuğundaki URL'leri iki kez kontrol etmenizi öneririz.