Los investigadores de seguridad que trabajan en el equipo del Proyecto Cero de Google dicen que han descubierto una serie de sitios web pirateados que utilizaron fallas de seguridad previamente no reveladas para atacar indiscriminadamente cualquier iPhone que los visitó. tarjeta madre informa que el ataque podría ser uno de los más grandes jamás realizados contra usuarios de iPhone. Si un usuario visitó uno de los sitios web maliciosos utilizando un dispositivo vulnerable, sus archivos personales, mensajes y datos de ubicación en tiempo real podrían verse comprometidos. Después de informar sus hallazgos a Apple, el fabricante del iPhone parchó las vulnerabilidades a principios de este año.

tarjeta madre señala que el ataque podría haber permitido a los sitios instalar un implante con acceso al llavero de un iPhone. Esto habría dado a los atacantes acceso a las credenciales o certificados contenidos en él, y también podría permitirles acceder a las bases de datos de aplicaciones de mensajería aparentemente seguras como WhatsApp e iMessage. A pesar de que estas aplicaciones utilizan cifrado de extremo a extremo para la transferencia de mensajes, si un dispositivo final se vio comprometido por este ataque, un atacante podría acceder a mensajes cifrados previamente en texto sin formato.

El ataque es notable por lo indiscriminado que es. tarjeta madre señala que otros ataques suelen ser más selectivos, con enlaces individuales que se envían a objetivos. En este caso, simplemente visitar un sitio malicioso podría ser suficiente para ser atacado y para instalar un implante en un dispositivo. Los investigadores estiman que los sitios comprometidos fueron visitados por miles de visitantes cada semana.

El implante instalado por los sitios maliciosos se eliminaría si un usuario reiniciara su teléfono. Sin embargo, los investigadores dicen que dado que el ataque compromete el llavero de un dispositivo, los atacantes podrían obtener acceso a cualquier token de autenticación que contenga, y estos podrían usarse para mantener el acceso a cuentas y servicios mucho después de que el implante haya desaparecido de un dispositivo comprometido.

En total, los investigadores dicen que descubrieron 14 vulnerabilidades en cinco cadenas de exploits diferentes, incluida una que no tenía parches en el momento en que los investigadores la descubrieron. Las versiones de iOS 10 a 12 se vieron afectadas por las vulnerabilidades, lo que según los investigadores indica que los atacantes intentaron piratear usuarios durante al menos dos años.

El equipo dice que se contactaron con Apple para informar la vulnerabilidad en febrero, y le dieron a la compañía solo siete días para repararla. TechCrunch señala que esta es una fecha límite mucho más corta que la típica ventana de 90 días generalmente dada por los investigadores, y probablemente refleja la gravedad de las vulnerabilidades. Apple parchó las vulnerabilidades con iOS 12.1.4, la misma actualización que solucionó una falla importante de seguridad de FaceTime.

Aunque las vulnerabilidades ya han sido reparadas, los investigadores señalan que es probable que haya más por ahí que aún no han descubierto. "Para esta campaña que hemos visto, es casi seguro que hay otras que aún no se han visto", escriben. Puede encontrar todos los detalles de los exploits en la publicación del blog del investigador.