Los profesionales de Symantec han encontrado un error que, de explotarse, permitiría a los atacantes poner en peligro los dispositivos iOS sin que el propietario lo sepa.
El último ataque iOS apodado como “Trustjacking” por los investigadores de seguridad informática, explota una vulnerabilidad en iTunes Wi-Fi Sync, una característica que permite que los dispositivos iOS se sincronicen con iTunes sin tener que conectar físicamente el dispositivo iOS a la computadora. Esta característica se puede habilitar conectando físicamente un iPhone / iPad a una computadora una vez con un cable, especificando que el dispositivo iOS puede confiar en la computadora de ahora en adelante, y luego habilite iTunes Wi-Fi Sync desde la PC. Una vez que se establece una conexión confiable de Wi-Fi Sync, el hacker que tiene acceso a la computadora del usuario puede espiar secretamente en el dispositivo iOS o grabar y controlar cualquier tipo de actividades de forma remota, siempre y cuando ambos estén bajo la misma red local.
“Esto permite a la computadora acceder a las fotos en el dispositivo, realizar una copia de seguridad, instalar aplicaciones y mucho más, sin requerir otra confirmación por parte del usuario y sin ninguna indicación notable. Además, esto permite activar la función “sincronización Wi-Fi de iTunes”, que permite continuar este tipo de comunicación con el dispositivo incluso después de que se haya desconectado de la computadora, siempre que la computadora y el dispositivo iOS estén conectados a la misma red Es interesante observar que habilitar la “sincronización Wi-Fi de iTunes” no requiere la aprobación de la víctima y se puede llevar a cabo puramente desde el lado de la computadora “, escribió en el informe Roy Iarchy, jefe de investigación de Modern OS Security.
Trustjacking es “extremadamente impactante”, dijo Adi Sahabani, vicepresidente sénior de seguridad moderna del sistema operativo en Symantec, quien reveló los hallazgos en RSAC 2018 el miércoles pasado junto con su colega Iarchy.
El informe indica que una vez que la computadora maliciosa está autorizada, no hay otro medio que impida el acceso continuo al dispositivo. Además, el experto en seguridad informática dijo que los usuarios no reciben ningún mensaje ni notificación de que al autorizar la computadora, permiten el acceso a su dispositivo incluso después de desconectar el cable USB. Muchos usuarios suponen que su dispositivo ya no está expuesto una vez que desconectan el cable USB.
“Incluso si el dispositivo solo está conectado durante un período de tiempo muy corto, es suficiente para que un atacante ejecute los pasos necesarios para mantener la visibilidad de todas las acciones realizadas en el dispositivo después de desconectarlo”, escribió Iarchy.
Los profesionales revelaron la vulnerabilidad a Apple, que intentó abordar el problema agregando una capa adicional de protección en iOS 11. La nueva capa de protección requiere que el usuario de iOS ingrese su contraseña cuando confía en una computadora. Sin embargo, los investigadores en seguridad informática creen que tales medidas son inadecuadas.
“Todavía se le dice al usuario que esta autorización solo es relevante mientras el dispositivo está conectado a la computadora, haciéndole creer que desconectar su dispositivo garantiza que nadie puede acceder a sus datos privados”, escribe Iarchy en la publicación del blog. “Si bien apreciamos la mitigación que ha tomado Apple, nos gustaría destacar que no aborda el Trustjacking de una manera holística. Una vez que el usuario ha elegido confiar en la computadora comprometida, el resto del exploit continúa funcionando “, agregó Iarchy.
Los analistas de seguridad informática también sugieren a los usuarios que habiliten copias de seguridad encriptadas en iTunes y que seleccionen una contraseña segura para proteger sus dispositivos.
Los usuarios también pueden ir a Configuración> General> Restablecer> Restablecer ubicación y privacidad, y volver a autorizar todas las computadoras conectadas previamente la próxima vez cuando conecten su dispositivo iOS a cada dispositivo.
