Cảnh báo: Có thể hack iPhone chỉ bằng cách gửi email

Nếu bạn đang sử dụng các sản phẩm của Apple, hãy thận trọng với những lỗ hổng này bởi nó cho phép hack iPhone chỉ bằng cách gửi email, nạn nhân không mở cũng có thể bị tấn công.



Ứng dụng gửi thư mặc định được cài đặt sẵn trên hàng triệu iPhone và iPad đã được phát hiện hai lỗ hổng nghiêm trọng mà hacker có thể xâm nhập vào thiết bị. Các lỗ hổng có thể cho phép các tin tặc từ xa bí mật kiểm soát hoàn toàn các thiết bị của Apple chỉ bằng cách gửi email đến bất kỳ cá nhân nào.

Theo các nhà nghiên cứu về an ninh mạng tại ZecOps, các lỗi đang được đề cập là các lỗi thực thi mã từ xa nằm trong thư viện MIME của ứng dụng thư điện tử của Apple liên quan đến vấn đề ghi tràn (out-of-bound write) và tràn bộ nhớ từ xa (remote heap overflow). Một trong số chúng là lỗi "zero-click" cực kỳ nguy hiểm, có thể bị lợi dụng mà không cần bất kỳ tương tác nào từ những người nhận được email.

Mặc dù cả hai lỗ hổng đều được kích hoạt trong khi xử lý nội dung của email, lỗ hổng thứ hai nguy hiểm hơn vì nó có thể bị khai thác với 'nhấp chuột không', trong đó không yêu cầu tương tác từ người nhận được nhắm mục tiêu.

Theo các nhà nghiên cứu, cả hai lỗ hổng tồn tại trong các mẫu iPhone và iPad khác nhau trong 8 năm qua kể từ khi phát hành iOS 6 và cũng ảnh hưởng đến IOS 13.4.1 hiện tại.



Điều đáng lo ngại hơn là nhiều nhóm kẻ tấn công đã khai thác những lỗ hổng này trong ít nhất 2 năm để nhắm vào các cá nhân từ các ngành và tổ chức, MSSP khác nhau từ Ả Rập Saudi và Israel, và các nhà báo ở Châu Âu.

"Với dữ liệu rất hạn chế, chúng tôi có thể thấy rằng ít nhất sáu tổ chức đã bị ảnh hưởng bởi lỗ hổng này - và phạm vi lạm dụng đầy đủ của lỗ hổng này là rất lớn", các nhà nghiên cứu cho biết.

"Mặc dù ZecOps không quy kết các cuộc tấn công này cho một tác nhân đe dọa cụ thể, chúng tôi biết rằng ít nhất một tổ chức 'tin tặc cho thuê' đang bán các khai thác sử dụng các lỗ hổng tận dụng địa chỉ email làm định danh chính."

"Đáng lưu ý là, dù dữ liệu xác nhận rằng các email bị lợi dụng đã được nhận và xử lý bởi thiết bị iOS của nạn nhân, các email tương ứng lẽ ra đã được nhận và lưu trữ trên máy chủ email lại biến mất. Do đó, chúng tôi đoán rằng những email này đã bị xóa có chủ đích như một phần trong kế hoạch dọn dẹp hiện trường sau một vụ tấn công" – các nhà nghiên cứu nói.

"Bên cạnh sự chậm chạp tạm thời của một ứng dụng thư di động, người dùng không nên quan sát bất kỳ hành vi bất thường nào khác."

Cần lưu ý, khi khai thác thành công, lỗ hổng này chạy mã độc trong ngữ cảnh của ứng dụng MobileMail hoặc maild, cho phép kẻ tấn công "rò rỉ, sửa đổi và xóa email".

Tuy nhiên, để từ xa kiểm soát hoàn toàn thiết bị, kẻ tấn công cần xâu chuỗi nó lại với một lỗ hổng kernel riêng.

Tại thời điểm này, chỉ có phiên bản beta 13.4.5 của iOS, được phát hành vào tuần trước, chứa các bản vá bảo mật cho cả các lỗ hổng zero-day.

Đối với hàng triệu người dùng iPhone và iPad, một bản vá phần mềm công cộng sẽ sớm được cung cấp cùng với việc phát hành bản cập nhật iOS sắp tới.

Trong khi đó, người dùng Apple được khuyến cáo không nên sử dụng ứng dụng thư tích hợp trên điện thoại thông minh của họ. Thay vào đó, tạm thời chuyển sang ứng dụng Outlook hoặc Gmail.