Apple ha una ben meritata reputazione per la sicurezza, ma negli ultimi anni il suo browser Safari ha avuto la sua dose di passi falsi. Questa settimana, un ricercatore di sicurezza ha condiviso pubblicamente nuove scoperte sulle vulnerabilità che avrebbero consentito a un hacker di sfruttare in successione tre bug Safari e di prendere il controllo della webcam e del microfono di un target su dispositivi iOS e macOS.
Apple ha corretto le vulnerabilità negli aggiornamenti di gennaio e marzo. Ma prima delle correzioni, tutto ciò che una vittima avrebbe dovuto fare era di cliccare su un link dannoso e un utente malintenzionato sarebbe stato in grado di spiarli da remoto.
Come funzionano i bug su Apple
“Safari incoraggia gli utenti a salvare le loro preferenze per le autorizzazioni del sito, ad esempio se si affidano a Skype per l’accesso al microfono e alla videocamera“, afferma Ryan Pickren, ricercatore di sicurezza che ha rivelato le vulnerabilità ad Apple. “Quindi, ciò che un utente malintenzionato potrebbe fare con questa catena di uccisioni è creare un sito Web dannoso che dal punto di vista di Safari potrebbe quindi trasformarsi in “Skype”. Quindi il sito dannoso disporrà di tutte le autorizzazioni precedentemente concesse a Skype, il che significa che un utente malintenzionato potrebbe inizia a scattare foto o accendere il microfono e catturare lo schermo“.
I bug che Pickren ha scoperto derivano tutti da svantaggi apparentemente minori. Ad esempio, ha scoperto che l’elenco delle autorizzazioni di Safari concesse da un utente ai siti Web trattava ogni sorta di variazione degli URL come parte dello stesso sito, come https://www.example.com, http://example.com, e fake: //example.com. “Girovagando”, come dice Pickren, è stato in grado di generare URL appositamente predisposti in grado di funzionare con script incorporati in un sito dannoso per avviare l’esca e lo switch che avrebbero ingannato Safari.
“Ho solo tartassato il browser con casi davvero strani fino a quando Safari non è stato confuso e ha dato un’origine che non aveva senso“, dice. “E alla fine i bug potrebbero rimbalzare da uno all’altro. Parte di questo è che alcuni dei bug erano difetti davvero vecchi nel nucleo di WebKit di anni fa. Probabilmente non erano così pericolosi come lo sono ora“.
Un hacker che ha indotto una vittima a fare clic sul suo link dannoso sarebbe in grado di avviare tranquillamente la webcam e il microfono del bersaglio per registrare video, scattare foto o registrare audio. E l’attacco funzionerebbe allo stesso modo su iPhone, iPad e Mac. L’attacco supera tutte queste barriere solo generando un travestimento convincente. Pickren ha presentato sette vulnerabilità al programma di ricompensa dei bug di Apple a metà dicembre e afferma di aver ottenuto la risposta che la società aveva patchato i bug il giorno successivo.
