אפל שולחת את תיקון תוכנת הריגול האחרון של "Rapid Response" לכולם, מתקן יום אפס שני

לפני שבועיים, קראנו למשתמשי אפל עם חומרה עדכנית לתפוס את השני של החברה אי פעם תיקון מהיר של תגובה.

כפי שציינו בזמנו, זה היה תיקון באג חירום לחסימת חור אבטחה של גלישה באינטרנט שככל הנראה נעשה בו שימוש ב התקפות תוכנות ריגול בעולם האמיתי:

רכיב: WebKit השפעה: עיבוד תוכן אינטרנט עלול להוביל לביצוע קוד שרירותי. אפל מודעת לדיווח שייתכן שהבעיה הזו נוצלה באופן פעיל. תיאור: הבעיה טופלה באמצעות בדיקות משופרות. CVE-2023-37450: חוקר אנונימי

הדבר הבא הטוב ביותר להתקפות אפס קליקים

מבחינה טכנית, באגים בביצוע קוד שניתן להפעיל על ידי כך שגורמים לך להסתכל על דף אינטרנט המכיל תוכן ממולכד, אינם נחשבים כאל מה שנקרא לחיצה אפסית התקפות.

התקפה אמיתית של אפס קליקים היא המקום שבו פושעי סייבר יכולים להשתלט על המכשיר שלך פשוט בגלל שהוא מופעל ומחובר לרשת.

דוגמאות ידועות כוללות את הידועים לשמצה קוד אדום ו סלימר תולעים של תחילת שנות ה-2000 שהתפשטו ברחבי העולם תוך שעות ספורות על ידי מציאת מחשבי קורבן חדשים בעצמם, או האגדי מוריס וורם משנת 1988 שהפיץ את עצמו ברחבי העולם כמעט ברגע שהיוצר שלו שיחרר אותו.

מוריס, מחבר התולעת המכונה, כנראה התכוון להגביל את תופעות הלוואי של "הניסוי" שלו על ידי הדבקה של כל קורבן פוטנציאלי רק פעם אחת. אבל הוא הוסיף קוד שהדביק באופן אקראי ומדי פעם קורבנות קיימים כפוליסת ביטוח נגד גרסאות מתרסקות או מזויפות של התולעת שאחרת עלולות להערים על התולעת להימנע ממחשבים שנראו מדבקים אך לא היו. מוריס החליט להדביק מחדש מחשבים בכוונה 1/7 מהזמן, אבל זה התברר כאגרסיבי מדי. לכן התולעת הכריעה במהירות את האינטרנט על ידי הדבקה של קורבנות אותם שוב ושוב עד שהם עשו מעט מלבד לתקוף את כולם.

אבל א להסתכל ולהתעצבן התקפה, המכונה גם א התקנה מונעת, שבו עצם הסתכלות בדף אינטרנט יכולה להשתיל תוכנה זדונית באופן בלתי נראה, למרות שאינך לוחץ על כפתורים נוספים או מאשרים חלונות קופצים כלשהם, היא הדבר הבא הטוב ביותר עבור תוקף.

אחרי הכל, הדפדפן שלך לא אמור להוריד ולהפעיל תוכנות לא מורשות אלא אם ועד שאתה נותן לו רשות מפורשת.

כפי שאתם יכולים לתאר לעצמכם, נוכלים אוהבים לשלב ניצול להסתכל ולהתפרנס עם באג שני של ביצוע קוד ברמת הגרעין כדי להשתלט לחלוטין על המחשב או הטלפון שלכם.

ניצולים מבוססי דפדפן נותנים לתוקפים תוצאות מוגבלות, כגון תוכנות זדוניות שיכולות לרגל רק אחרי הגלישה שלך (עד כמה שזה גרוע בפני עצמו), או שלא ימשיכו לפעול לאחר יציאת הדפדפן שלך או שהמכשיר שלך יופעל מחדש.

אבל אם התוקפים מבצעים דרך חור דפדפן ראשוני מקודד במיוחד כדי לנצל את הבאג השני בשרשרת, אז הם בורחים מיד מכל מגבלות או ארגז חול המיושמים באפליקציית הדפדפן על ידי השתלטות על כל המכשיר שלך ברמת מערכת ההפעלה במקום זאת.

בדרך כלל, זה אומר שהם יכולים לרגל אחר כל אפליקציה שאתה מפעיל, ואפילו אחר מערכת ההפעלה עצמה, כמו גם להתקין את התוכנה הזדונית שלהם כחלק רשמי מהליך האתחול של המכשיר שלך, ובכך לשרוד באופן בלתי נראה ואוטומטי כל אתחול זהירות מחדש אתה עשוי להופיע.

---

---

עוד חורים בתוכנה זדונית באייפון

אפל דחפה כעת שדרוגי מערכת בגודל מלא, עם מספרי גרסאות חדשים לגמרי, עבור כל גרסת מערכת הפעלה נתמכת שהחברה תומכת בה.

לאחר העדכון האחרון הזה, אתה אמור לראות את מספרי הגרסה הבאים, כפי שמתועדים בעלוני האבטחה של Apple המפורטים להלן:

בנוסף לכלול תיקון קבוע לניצול ה-CVE-2023-37450 שהוזכר לעיל (ובכך תיקון לאלה שדילגו על התגובה המהירה או שהיו להם מכשירים ישנים יותר שלא היו כשירים), עדכונים אלה עוסקים גם בבאג הרשום הזה:

רכיב: השפעת ליבה: אפליקציה עשויה להיות מסוגלת לשנות מצב ליבה רגיש. אפל מודעת לדיווח שייתכן שבעיה זו נוצלה באופן פעיל כנגד גרסאות של iOS שפורסמו לפני iOS 15.7.1. תיאור: בעיה זו טופלה עם ניהול מצב משופר. CVE-2023-38606: ולנטין פאשקוב, מיכאיל וינוגרדוב, גאורגי קוצ'רין (@kucher1n), ליאוניד בזברשנקו (@bzvr_), ובוריס לארין (@oct0xor) מקספרסקי

כמו בכתבה שלנו על העדכונים הקודמים של אפל ברמת המערכת ב- סוף יוני 2023, שני החורים בטבע שנכנסו לרשימה הפעם עסקו בבאג WebKit ובפגם בקרנל, כאשר הבאג ברמת WebKit שוב מיוחס ל"חוקר אנונימי" והבאג ברמת הליבה שוב מיוחס לתלבושת האנטי-וירוס הרוסית קספרסקי.

לכן אנו מניחים שהטלאים האלה קשורים למה שנקרא טריאנגולציה טרויאני תוכנה זדונית, שדווחה לראשונה על ידי קספרקי בתחילת יוני 2023, לאחר שהחברה גילתה שמכשירי אייפון השייכים לחלק מהצוות שלה היו נגוע באופן פעיל עם תוכנות ריגול:

מה לעשות?

שוב, אנו מפצירים בכם לוודא שמכשירי Apple שלכם הורידו (ואז התקינו בפועל!) את העדכונים האלה בהקדם האפשרי.

למרות שאנחנו תמיד מפצירים בכם תיקון מוקדם/תיקון לעתים קרובות, התיקונים בשדרוגים אלה אינם שם רק כדי לסגור חורים תיאורטיים.

הנה, אתה מכבה את פגמי אבטחת הסייבר שתוקפים כבר יודעים לנצל.

גם אם הנוכלים השתמשו בהם עד כה רק במספר מצומצם של פריצות מוצלחות לאייפונים ישנים יותר...

...למה להישאר מאחור כשאפשר לקפוץ קדימה?

ואם הגנה מפני תוכנות זדוניות טרויאניות בטריאנגולציה אינה מספיקה כדי לשכנע אותך בפני עצמה, אל תשכח שהעדכונים הללו גם מתקנים נגד מתקפות תיאורטיות רבות שאפל וחבר'ה טובים אחרים מצאו באופן יזום, כולל חורי ביצוע של קוד ברמת הגרעין, באגים בהעלאת הרשאות ופגמים בדליפת נתונים.

כמו תמיד, עבור אל הגדרות > כללי > עדכון תוכנה כדי לבדוק אם קיבלת והתקנת נכון את תיקון החירום הזה, או לקפוץ לקדמת התור ולהביא אותו מיד אם לא קיבלת.

(הערות. במחשבי Mac ישנים יותר, בדוק אם קיימים עדכונים באמצעות תקצירי Mac > עדכון תוכנה… במקום זאת.)

---

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. רכב / רכבים חשמליים, פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• BlockOffsets. מודרניזציה של בעלות על קיזוז סביבתי. גישה כאן.
• מקור: https://nakedsecurity.sophos.com/2023/07/25/apple-ships-that-recent-rapid-response-spyware-patch-to-everyone-fixes-a-second-zero-day/