Об этом сообщали эксперты ZecOps.

По информации исследователей, эксплуатация уязвимости не требует какого-либо взаимодействия с пользователем, и злоумышленникам достаточно просто отправить жертве вредоносное письмо. Если пользователь получит почту или откроет Apple Mail, эксплоит сработает. В то же время для Gmail и других почтовых клиентов такая атака неактуальна.

В своем отчете эксперты также указывали на то, что уязвимость уже давно эксплуатируют хакеры. Исследователями было обнаружено попытки атак на частных лиц и компании из списка Fortune 500 в Северной Америке, руководство японской компании-перевозчика, германского поставщика услуг управляемой безопасности, европейского журналиста и других. При этом отмечалось, что обнаруженные атаки подходили под “профиль” одной известной правительственной хак-группы, но ее название не разглашали.

В свою очередь специалисты Apple сделали официальное заявление относительно отчета ZecOps. Инженеры компании пишут, что тщательно изучили информацию о найденных специалистами проблемах и утверждают, что эксперты ошиблись – уязвимости не использовались для атак на пользователей. При этом сам факт существования проблем компания не отрицает.

“Apple серьезно относится к любым сообщениям об угрозах безопасности. Мы тщательно изучили отчет исследователей и, основываясь на предоставленной информации, пришли к выводу, что эти проблемы не представляют непосредственного риска для наших пользователей. Исследователи выявили три проблемы в (Apple -ред.) Mail, но сами по себе они не могут использоваться для обхода средств защиты iPhone и iPad, и мы не нашли доказательств того, что они применялись против наших клиентов. Эти потенциальные проблемы будут устранены в ближайшее время с обновлением ПО. Мы ценим участие ИБ-исследователей, которые стремятся помочь обеспечить безопасность наших пользователей, и обязательно выразим им благодарность за помощь и участие”, — заявили эксперты Apple.

Опубликованные ZecOps заявления вызвали сомнения также у ИБ-специалистов. Так, некоторые эксперты писали в Twitter, что крайне сомневаются в том, что обнаруженные ошибки могли использоваться против пользователей в реальной жизни.

Исследование ZecOps основывалось на crash-логах, обнаруженных на якобы пострадавших устройствах. Данные из этих логов были интерпретированы как попытки эксплуатировать баг и атаковать пользователя. В частности, эксперты ZecOps писали, что неудачные попытки атак оставляли после себя пустые письма и crash-лог устройстве. Тогда как удачные атаки якобы заканчивались удалением пустых электронных писем, чтобы скрыть атаку от пользователя.

В свою очередь ИБ-специалисты отмечали, что если бы злоумышленники удаляли пустые электронные письма для сокрытия следов, скорее всего, они удаляли бы и crash-логи с пострадавших девайсов. Поэтому многие заключили, что аналитики ZecOps нашли “испорченные” электронные письма, появившиеся из-за обычного бага, а не злонамеренные атаки на пользователей iOS. Теперь свежее заявление Apple подтверждает эти выводы.

Стоит отметить, что 0-day (англ. zero day), Угроза нулевого дня — термин, обозначающий неустраненные уязвимости, а также вредоносные программы, против которых ещё не разработаны защитные механизмы. Сам термин означает, что у разработчиков было 0 дней на исправление дефекта: уязвимость или атака становится публично известна до момента выпуска производителем ПО исправлений ошибки (то есть потенциально уязвимость может эксплуатироваться на работающих копиях приложения без возможности защититься от нее.

  • Хакеры “слили” в Сеть документы Boeing, Lockheed Martin, SpaceX и Tesla