David Hanak Op der Websäit vum Felix Kraus, dem Entwéckler hannert dem Programm fastlane, e ganz interessant Stéck Informatioun ass haut entstanen iwwer déi lescht Method fir e Phishing-Attack auszeféieren, deen am Moment méiglech ass op der iOS Plattform ze maachen. Dës Attack zielt d'Passwuert vum Apparat Benotzer an ass geféierlech haaptsächlech well et wierklech wierklech ausgesäit. An esou engem Mooss, datt den attackéierten Benotzer op eegen Initiativ säi Passwuert verléiere kéint.
Et kéint sinn interesséieren Iech
De Felix op seng eegen Websäit stellt en neit Konzept vun engem Phishing-Attack duer, deen op iOS Apparater kënnt. Dat geschitt nach net (obwuel et zanter e puer Joer méiglech ass), et ass nëmmen eng Demonstratioun vu wat méiglech ass. Logischerweis weist den Auteur net de Quellcode vun dësem Hack op senger Websäit, awer et ass net onwahrscheinlech datt een et probéiert.
Prinzipiell ass et en Attack deen eng iOS Dialogbox benotzt fir d'Apple ID Kont Passwuert vum Benotzer ze kréien. De Problem ass datt dës Fënster net z'ënnerscheeden ass vun der realer déi erschéngt wann Dir Aktiounen op iCloud oder am App Store autoriséiert.
Et kéint sinn interesséieren Iech
D'Benotzer sinn un dëse Pop-up gewinnt a fëllen se am Fong automatesch wann et erschéngt. De Problem entsteet wann den Hiersteller vun dëser Fënster net de System als solch ass, awer e béiswëlleg Attack. Dir gesitt wéi dës Zort Attack an de Biller an der Galerie ausgesäit. Dem Felix seng Websäit beschreift genee wéi esou en Attack ka geschéien a wéi en ausgenotzt ka ginn. Et ass genuch datt d'installéiert Applikatioun am iOS Apparat e spezifesche Skript enthält deen dës User Interface Interaktioun initialiséiert.
Fotogalerie
D'Verteidegung géint dës Zort Attack ass relativ einfach, awer wéineg géifen denken et ze benotzen. Wann Dir jeemools eng Fënster wéi dës kritt, an Dir de Verdacht datt eppes net ganz richteg ass, dréckt einfach den Home Button (oder seng Software-Äquivalent ...). D'App crasht an den Hannergrond, a wann de Passwuertdialog legitim war, gesitt Dir et nach ëmmer op Ärem Écran. Wann et e Phishing Attack war, wäert d'Fënster verschwannen wann d'Applikatioun zou ass. Dir kënnt méi Methoden fannen op Websäit vum Auteur, déi ech recommandéieren ze liesen. Et ass wahrscheinlech nëmmen eng Fro vun der Zäit ier ähnlech Attacke sech op Apps am App Store verbreeden.
Source: krausefx
Also sou en Attack an enger legitimer Applikatioun géif wahrscheinlech net dem Apple seng Kontroll passéieren, oder?
Also nach eng Kéier, wann Dir kee Jailbreak hutt, hutt Dir néierens et ze fänken.
PS: Ech hunn dës "regelméisseg" Stëmm nach ni gesinn. Ech benotzen Touch ID iwwerall ;-).
Ma, ech hunn hatt schonn haut gesinn. An et gëtt keen TID um iPad Mini. Just gëschter Owend krut ech eng E-Mail datt iergendeen probéiert mat menger Apple ID vu Chrome op Windows anzeschreiwen. Natierlech hunn ech de Moien direkt d'Passwuert geännert. Moies, wéi mäi SIM-gratis iPad Mini op Wifi an um Internet koum, huet en als verluer a gespaart gemellt, an ech krut e Message doriwwer a menger E-Mail. Ech huelen un datt d'Ännerung vum Passwuert alles geléist huet, awer jidderee sollt wierklech virsiichteg sinn. Ech war am meeschte iwwerrascht vum Message um iPad's Display, kuckt Bild. Dat schéngt mir net ganz Standard ze sinn, an d'E-Mailadress seet alles - et ass e Scam a si wollten meng Logindetailer kréien.
... kuckt Bild. https://uploads.disquscdn.com/images/81787f49f7358d75acc8a8265cc5014288f07bed46bceeca1254da2086501947.png
A wéi eng App war dat, wann ech froen dierf?
Merci.
Ech weess net iwwer all App, Ech sinn net bewosst vun eppes. Ech benotzen den iPad wéineg, praktesch bal eenzeg Zweck, a seng Ausrüstung vun Uwendungen entsprécht deem - e puer grondleeënd Saachen, näischt anescht, eidel. Ofgesi vun der geleeëntlecher Update (an et sinn e puer), installéieren ech näischt do, also ass dëst déi lescht vu menge Geräter wou ech esou eppes erwaart.
An hutt Dir Jailbreak?
Jo sécher, ech sinn domm. Si hunn Äert Passwuert geholl an "verluer Apparat" ginn an e Message geschriwwen. Pardon. D'Fro ass wéi se Äert Passwuert kruten. Hutt Dir datselwecht Passwuert fir verschidde Servicer? Et gëtt um Internet geleckt (kann op der Websäit fonnt ginn https://haveibeenpwned.com wou gitt Dir Är Email oder Benotzernumm)?
Ech denken just datt d'Jongen et net am Kapp haten wann se Iech d'Original Passwuert verlooss hunn, obwuel et fir Iech super ass, awer dat ass wat se eng Clique nennen.
Jo, ech denken, et kéint gewiescht sinn. Natierlech huet hien e Rekord op deem Site. Mee et muss all E-Mail-Adress méi al wéi 10 Joer sinn. :-)
Ech hu kee Jailbreak an hunn ni.
Et ginn och méi nei :-) Alles wat Dir maache musst war LinkedIn an Dropbox zu der falscher Zäit ze hunn an et geschitt scho mat Iech :-)
Hehe, wann ech irgendwann geschriwwen hätt nodeems ech op den 3GS wiesselen, wann ech driwwer geduecht hunn, wier ech "berühmt" gewiescht... Nah, Geschicht spillt net ronderëm :-D
Op der anerer Säit, wann d'Fënster bei mech opkënnt an ech net bewosst sinn datt ech eng Interaktioun mam AppStore géif initiéieren, annuléieren ech ouni d'Passwuert auszefëllen ...
Dëst ass just mat mir geschitt wärend mengem iPhone aktivéiert gouf. Ech hoffen et ass genuch fir e Sprang ze ginn. Ech fëllen nëmmen d'Passwuert ënner menger E-Mail.