Uwaga użytkownicy iOS, ten phishing jest prawie perfekcyjny

Na naszych prezentacjach często pokazujemy różne ataki na użytkowników, zatem ich widok nie jest nam obcy. Ten jednak zrobił na nas naprawdę duże wrażenie swoją prostotą i potencjalną skutecznością.

Każdy użytkownik iPhona przyzwyczajony pewnie jest do tego, że system potrafi go w różnych momentach zapytać o hasło do usługi iCloud (pozwalające w zasadzie na dostęp do wszystkiego, co użytkownik zdecydował się do chmury przesłać plus np. instalację aplikacji i aktualizacji systemowych). Okazuje się, że wyświetlenie podobnej, a nawet identycznej prośby na ekranie telefonu nie jest żadnym problemem. Spójrzcie tylko na poniższe zrzuty ekranu.

Które okno z pytaniem o hasło jest prawdziwe? Możecie tylko zgadywać, sam obrazek nie wystarczy by ocenić zagrożenie. My podpowiemy, że prawy jest prawdziwy, a poniżej znajdziecie instrukcję, jak samodzielnie sprawdzić to na swoim telefonie.

Tak banalne że aż nie chce się wierzyć

Felix Krause opisał ten dość prosty atak na swoim blogu. Nie opublikował kodu niezbędnego do wyświetlenia okna dialogowego, ale napisał, że przykłady łatwo znaleźć w każdej instrukcji dla programistów. Okno z pytaniem o hasło może wyświetlić każda aplikacja i będzie ono wyglądało tak samo, jak okno wyświetlane przez system operacyjny. Apple nie postarało się w żaden widoczny na pierwszy rzut oka sposób odróżnić pytania fałszywego od prawdziwego. Co więcej, pytanie prawdziwe pojawia się tak często, że zapewne nie raz już wpisywaliście swoje hasło bez weryfikowania, czy podajecie je systemowi operacyjnemu, czy hakerowi.

Jak rozpoznać fałszywkę i inne pytania

Na szczęście metoda rozpoznania okna prawdziwego jest dość prosta – wystarczy nacisnąć guzik Home. Jeśli okno wyświetlone było przez system operacyjny, pozostanie widoczne. Jeśli przez aplikację – zniknie z ekranu. Co ważne, nie powinniście wpisywać hasła do okna przed jego weryfikacją – nawet jeśli naciśniecie guzik „Anuluj”, złośliwa aplikacja może wpisane hasło odczytać.

Co z uwierzytelnieniem dwuskładnikowym? Oczywiście ta metoda go nie omija, jednak co jeśli potem pojawi się drugie okno z prośbą o podanie np. kodu 2FA? Nic nie stoi na przeszkodzie, by złośliwa aplikacja przekazała swojemu twórcy także ten kod.

Co z adresem email? Czasem pojawiają się w iOS także okna z pytaniem o hasło bez adresu email, zatem jeśli złośliwa aplikacja Waszego adresu nie zna, to może go po prostu ominąć.

Czy złośliwa aplikacja może trafić do sklepu Apple? Może, takie przypadki zdarzały się już w przeszłości.

Co dalej?

Użytkownikom iOS pozostaje włączyć 2FA (jeśli tego nie zrobili) i liczyć na to, ze Apple kiedyś oznaczy dialogi systemowe i aplikacyjne w różny sposób. Do tego momentu trzeba przy pytaniu o hasło naciskać guzik Home i sprawdzać efekt.