Сертификат на доверие
Сертификат на доверие Мы привыкли считать, что Android — это дикий запад с APK из непонятных источников, а iOS — это крепость, которую не взять. Крепость, возможно, и не взять, но вот обойти — вполне. «Лаборатория Касперского» обнаружила зараженные версии популярных iOS-приложений, которые распространялись через русскоязычный Telegram-канал. Среди пострадавших онлайн-площадка для продажи товаров, фоторедактор и видеосервис. В модифицированные версии злоумышленники встроили модуль, который собирает информацию об устройстве, геолокацию и делает скриншоты экрана. Механика распространения вызывает уважение своей продуманностью. В Telegram публикуют установочные файлы IPA и предлагают пользователям купить сертификат разработчика. Дальше этот сертификат импортируется в утилиты для установки сторонних приложений вроде eSign или Scarlet, и программа подписывается для установки через приватные механизмы iOS. Можно и без покупки сертификата. Например, с компьютера или на джейлбрейкнутом устройстве. То есть жертва сама платит за то, чтобы лишиться безопасности. Бизнес-модель, достойная отдельного исследования. Вредонос, к счастью, не умеет работать в фоне. Пока приложение открыто, он может снимать экран, передавать геолокацию, код оператора и кучу технических параметров вроде уровня заряда батареи и наличия джейлбрейка. Но как только закрыли, он неактивен. Это не делает атаку менее опасной, но хотя бы дает шанс заметить, что ваше приложение для просмотра видео вдруг начало делать скриншоты. Впрочем, кто смотрит на разрешения? «Пользователи скачивают модифицированные версии популярных программ — без рекламы, с разблокированным платным функционалом, — напоминает Сергей Пузан из «Лаборатории Касперского». — Этим пользуются злоумышленники». Рекомендация, как всегда, банальна до скрежета: устанавливайте приложения только из официальных источников. А если программы нет в App Store — сходите на сайт разработчика и уточните, как ее ставить легально. И да, сертификат разработчика, купленный с рук в Telegram, — это какой-то вверх неосмотрительности. @antiinfosec