Пользователи гаджетов Apple, на которых не установлены последние обновления, могут подвергнуться омографическим атакам.
Об этом рассказали эксперты в области кибербезопасности из компании Tencent Security Xuanwu Lab.
Омографические атаки известны достаточно давно. Они основываются на методе преобразования последовательностей Unicode-символов в ACE-последовательности, которые состоят из алфавитно-цифровых символов (метод Punycode). Punycode был разработан для преобразования доменных имен в последовательность ASCII-символов (ASCII — название таблицы, в которой некоторым распространенным печатным и непечатным символам сопоставлены числовые коды).
Так, злоумышленник может зарегистрировать доменное имя, похожее на уже существующее, но отличающееся от него одной буквой, сходной по написанию (как правило, это буква из другого алфавита, например, из кириллицы).
Теперь же эксперты установили, что в браузере Safari некоторые Unicode-символы отображаются так же, как и обычные буквы. В частности, латинская буква d в поисковой строке будет выглядеть так же, как и символ dum.
Этим могут воспользоваться злоумышленники для подделки реальных доменных имен (например, iCloud, Adobe, LinkedIn). При этом пользователи не заметят разницу и не распознают поддельную ссылку. После того как пользователь авторизируется в фейковом сервисе, злоумышленники получат его данные.
Специалисты Tencent Security ранее уведомили Apple о данной проблеме. Впоследствии уязвимость была исправлена в Safari, iOS, macOS, tvOS и watchOS (при июльском обновлении безопасности).
Дав пользователям время установить обновления, эксперты Tencent Security теперь обнародовали детали указанной проблемы, призвав всех, кто еще не установил обновления, незамедлительно это сделать.
Согласно данным Tencent Security, угроза является достаточно серьезной, так как около 25 % доменов из 10 тыс. наиболее посещаемых сайтов содержат букву “d” (включая LinkedIn, Baidu, Dropbox, Adobe, WordPress, Reddit, GoDaddy). Таким образом, они могут использоваться для омографических атак.
Фото: xlab.tencent.com
Ранее исследователи безопасности обнаружили ошибку в iOS 12.1, которая позволяет обойти экран блокировки и получить доступ к контактам.
В феврале аноним выложил на GitHub – крупнейшем веб-сервисе для хостинга IT-проектов – исходные коды загрузчика iBoot, одной из важнейших составляющих устройств Apple, отвечающей за процесс загрузки операционной системы iPhone (iOS).