Início » Antivírus e Segurança » Google revela falhas no iOS que permitiam invasão do iPhone

Google revela falhas no iOS que permitiam invasão do iPhone

Bastava que páginas maliciosas fossem acessadas para o iPhone ser invadido

Por
30/08/2019 às 13h11

O Google tem uma equipe chamada Grupo de Análises de Ameaças (TAG, na sigla em inglês) e foi ela que identificou várias páginas que, só de serem acessadas, exploravam falhas do iOS. As consequências eram alarmantes: o iPhone poderia ser invadido para roubo de dados do usuário (como fotos ou mensagens do WhatsApp) ou instalação de ferramentas de espionagem.

iPhone 8 Plus e iPhone XS

Em postagem no blog do Project Zero, programa que o Google criou em 2014 com a proposta de descobrir falhas de segurança para a deixar a web mais segura, os pesquisadores da companhia revelam a descoberta de cinco cadeias de ataques que envolvem pelo menos 14 falhas de segurança que afetavam desde o iOS 10 ao iOS 12.

De modo geral, essas cadeias de ataques davam aos invasores acesso raiz (root) ao sistema operacional. Das 14 falhas identificadas, sete tinham relação com o Safari, cinco afetavam o kernel e as outras duas envolviam instâncias do sandbox (uma “área protegida” que limita o acesso de aplicativos a determinados recursos para fins de segurança).

Com o acesso raiz, os invasores podiam instalar aplicativos (para monitorar o usuário, por exemplo), acessar mensagens de serviços como WhatsApp e iMessage, capturar fotos, obter dados de geolocalização em tempo real, entre outros.

A pior parte é que o usuário não precisava realizar nenhuma ação específica. O simples acesso às páginas maliciosas já era suficiente para os exploits entrarem em ação. Se tivessem sucesso, o iPhone do usuário podia ser invadido. O Google estima que esses sites receberam milhares de visitadas.

Como sempre faz, o Google reportou as vulnerabilidades à Apple. Normalmente, o Project Zero estabelece um prazo de 90 dias após a notificação para que a empresa responsável disponibilize correções, do contrário, o Google dispara um alerta público sobre o problema.

Mas, por considerar as falhas muito graves, o Google deu um prazo de apenas sete dias. A Apple foi notificada em 1º de fevereiro de 2019 e liberou as correções em 7 de fevereiro com o lançamento do iOS 12.1.4.

Cadeias de ataques - falhas no iOS (imagem: Google)

Apesar de a Apple ter agido rápido após a notificação, os problemas demoraram para ser corrigidos. O TAG calcula que as falhas foram exploradas por pelo menos dois anos.

Não há estimativas sobre quantos usuários teriam sido afetados, mas o que mais importa é que as vulnerabilidades foram mitigadas, razão pela qual o Google concluiu que este é um bom momento para falar sobre elas.

É recomendável não baixar a guarda, porém. Os especialistas da companhia acreditam que há outras falhas do tipo sendo exploradas.

Com informações: TechCrunch.