أسبوع الأمن 18: قنبلة نصية لنظام iOS

إذا تم جمع مجموعة وهمية من أفضل النتائج من أنواع مختلفة من الثغرات الأمنية ، فستأخذ أنواع مختلفة من أخطاء معالجة الإدخال أفضل الأماكن هناك. واحدة من أقدم الطرق لتعطيل برنامج أو نظام بأكمله هو استخدام قنبلة مضغوطة - أرشيف صغير يأخذ مئات الميغابايت أو الجيجابايت أو بيتابايت من البيانات ، اعتمادًا على الفترة الزمنية. ولكن بعد ذلك الأرشيف ، لا يزال بحاجة إلى تنزيل ومحاولة فك الحزم. القنابل النصية أكثر إثارة للاهتمام - الرسائل التي يتسبب تنسيقها في تعطل البرنامج أو تعطل النظام بأكمله. في عالم المراسلة الفورية والأجهزة المحمولة ، هذا صحيح بشكل خاص.

في الأسبوع الماضي ، تم اكتشاف آلية تعليق أحادية الرسالة للأجهزة المحمولة في نظام تشغيل iOS لأجهزة Apple المحمولة ( الأخبار ). يعالج iOS بشكل غير صحيح حرفًا واحدًا على الأقل من اللغة السندية ، إحدى اللغات الرسمية في باكستان ، المدرجة في معيار Unicode. عند عرض مثل هذا الرمز على الهاتف أو الجهاز اللوحي ، يحدث فشل بدرجات متفاوتة من الصعوبة ، وفي أسوأ الحالات ، يلزم إعادة تشغيل الجهاز. يجب عرض رسالة برمز صعب على الشاشة ، في عميل الشبكة الاجتماعية أو في برنامج المراسلة ، ولكن يحدث فشل أيضًا عند عرض الإشعار ، إذا تم تمكين معاينة الرسالة. وبعبارة أخرى ، بعد إعادة التشغيل ، يمكنك تشغيل سقوط البرنامج أو النظام بأكمله مرة أخرى إذا قرر شخص ما التحكم بك بالكامل.

مكتشف القنبلة النصية غير معروف. على موقع Reddit ، في مجتمع محبي أجهزة iPhone التي تعمل بنظام الجيلبريك ، قاموا بنشر رقعة محلية الصنع من هذه الآفة ، مشيرين إلى الرسائل على Twitter (كما في لقطة الشاشة في بداية الملخص) التي تم توزيعها الأسبوع الماضي ، لسبب ما مع إضافة العلم الإيطالي إلى رمز اللغة السندية. لا يشارك العلم في تشغيل الخطأ. لتجنب التصيد الجماعي ، تم حظر نشر الشخصيات la naturel في هذا المجتمع. يمكنك إلقاء نظرة خاطفة على رمز الحرف في الرمزالتصحيح لأجهزة iPhone "اختراق". لن ننشره هنا ولا ننصحك. غير مضحك. هذا خطأ ، ولكنه ليس ثغرة: تعطل البرامج لا يؤدي إلى تنفيذ التعليمات البرمجية ، على الأقل لم تكن هناك مثل هذه الرسائل. في الإصدار التجريبي الحالي من iOS ، يتم حل المشكلة ، ولكن قبل الإصدار الرسمي للتحديث في الشبكات الاجتماعية والمراسلات الفورية ، من المحتمل أن تكون هناك هتافات.

كما أغلقت النسخة التجريبية من iOS 13.4.5 حالتين في عميل البريد Apple Mail ( الأخبار ). وفقًا لفريق ZecOps ، تؤدي كلتا الثغرات الأمنية إلى تسرب البيانات من عميل البريد عند فتح رسالة معدة. تدعي ZecOps أن الإصدار القديم من iOS 6 عرضة أيضًا وأنه منذ عام 2018 ، تم استغلال الثغرات الأمنية من قبل مهاجمين مجهولين "في الحقول". ومع ذلك ، تعتقد شركة Apple أنه لم يكن هناك هجوم نشط.: "لا يوجد تهديد فوري للمستخدمين."

إذا كانت القنبلة النصية في iOS مزعجة فقط ، فماذا عن ملف GIF الضار الذي يسمح لك بسرقة الوصول إلى حسابك في خدمة Microsoft Teams؟ اكتشف CyberArk هذه الثغرة الأمنية ( أخبار ، دراسة) وجد الباحثون نقطة ضعف ليس في معالج الصور ، ولكن في آلية تسمح لك بتتبع من شارك ما في هذا النظام الأساسي للتعاون. نظرًا لأن Microsoft Teams يمكنها دمج الخدمة السحابية وخوادم الشركات الخاصة والبرامج على أجهزة كمبيوتر المستخدمين ، فقد كان هناك حاجة إلى نظام معقد إلى حد ما لإحالة الصورة مع نقل الرموز المميزة التي تحدد المشترك. أضف إلى هذين المجالين الفرعيين على موقع Microsoft على الويب ، حركة المرور التي يمكن من الناحية النظرية تحويلها إلى مهاجم باستخدام إجراء الاستيلاء على المجال الفرعي، ونحصل على السيناريو التالي. يمكنك إرسال ملف GIF المعد إلى المستخدم. يتم تسجيل الصورة في الخدمة مع نقل رموز المستخدم إلى المجال الفرعي * .microsoft.com. يقوم المهاجم بإعادة توجيه حركة المرور إلى هذا المجال الفرعي إلى نفسه وتلقي رمز مميز. باستخدام مفاتيح التفويض ، يمكنك بالفعل الوصول إلى واجهة برمجة تطبيقات الخدمة السحابية نيابة عن المستخدم المتأثر وتلقي معلومات خاصة متنوعة حول الهيكل الداخلي للشركة.

ماذا حدث

أكدت نينتندو اختراق 160،000 الحسابات من خلال معرف شبكة نينتندو. هذا نظام قديم يستخدم ، على وجه الخصوص ، للحسابات في وحدات تحكم Nintendo 3DS و Wii U. ولكن من خلال هذا الحساب القديم ، يمكنك أيضًا الدخول إلى خدمة الشبكة الحديثة للشركة ، على سبيل المثال ، خدمة Nintendo Switch. أدى اختراق NNID بالفعل إلى سرقة الأموال الافتراضية من حسابات المستخدمين.

تم تسريب شفرة المصدر لألعاب Team Fortress 2 و CS: GO متعددة اللاعبين. عادة ما تكون رموز المصدر موزعة بشكل خاص وفقط بين شركاء المطور ، Valve Software ، كانت متاحة للجمهور. وفقًا لـ Valve ، هذه عبارة عن "إعادة تحميل" للمصادر التي ظهرت بالفعل في الشبكة في عام 2018 ، لذلك لا يجب أن تتوقع ظهور برمجيات إكسبلويت جديدة لمهاجمة اللاعبين.

نوقش تسرب على نطاق واسع الأسبوع الماضيقاعدة بيانات تضم 25000 عنوان بريد إلكتروني وكلمة مرور ، يُزعم أنها مملوكة لموظفي منظمة الصحة العالمية ومؤسسة بيل وميليندا غيتس ومعهد ووهان للفيروسات. على الأرجح ، هذه عينة من قاعدة بيانات ضخمة من التسريبات السابقة من خدمات الشبكة ، والتي صنعها شخص ما من أجل اليوم. وفي الوقت نفسه، وفقا لمجموعة تحليل جوجل التهديد (وغيرها من الشركات)، وموضوع COVID 19 بنشاط استخدمت في هجمات تصيد المعلومات في الجهات الحكومية في مختلف البلدان.

تم اكتشاف مثال مثير للاهتمام للتصيد الاحتيالي المعقول لكلمة المرور لبرنامج Skype messenger. حققت

بالو ألتو نتوركس في الروبوتات التي تستهدف أجهزة Zyxel NAS الضعيفة. وتحليلها في ESETنقاط الضعف في محاور المنزل الذكي لثلاث شركات تصنيع مختلفة. الأخبار السيئة: هناك إمكانية اعتراض التحكم عن بعد في البنية التحتية للإنترنت المنزلية بالكامل. الخبر السار هو أن الثغرات التي تم التحقيق فيها قد تم إغلاقها بالفعل من قبل الشركات المصنعة ، بعضها منذ فترة طويلة. الأخبار السيئة هي: ليس كل مالكي المحور يقدمون التحديثات في الوقت المحدد.