פירצת המיליארד של אייפון והמבוכה של מנכ”ל טוויטר 📻 האחראי על האינטרנט בגלצ

🔊 להאזנה

תפוח רקוב אחד פוגע במיליארד משתמשים

חוקרי אבטחה מ-Project Zero של גוגל חשפו השבוע (ה’) פירצת אבטחה חמורה מאוד במערכת ההפעלה iOS של אייפון, אשר שימשה להשתלטות על האייפונים הפרוצים וגניבת מידע מהם. הפירצה פגעה באייפונים חשופים ברגע שהם גלשו לאחד ממספר אתרים ייעודיים. הפירצה התקיימה ברוב הגירסאות של מערכת ההפעלה בין 10-12, וייתכן שהיתה המתקפה הגדולה ביותר אי פעם נגד משתמשי אייפון. הכותרת בפורבס זעקה: “גוגל מזהירים מיליארד משתמשי אפל כי ייתכן שהותקפו”.

בתחילת השנה חשפו חוקרי אבטחה של גוגל מקבץ קטן של אתרים פרוצים. ברגע שמשתמש אייפון גלש לאחד האתרים הללו, האתר ניסה לפרוץ אליו דרך שורה של 14 חולשות אבטחה. אם הצליח, האתר השתיל באייפון מה שהחוקרים מכנים “שתל ניטור”, רוגלה מסוכנת שקיבלה גישת root – הגישה המקיפה ביותר במכשיר. 

באמצעות הרוגלה, ההאקרים יכלו להתקין זודנות על המכשיר, לקרוא את האיכון של המכשיר, ולגנוב תמונות והודעות. הפירצה גם איפשרה להאקרים לראות את תוכן “מחזיק המפתחות” ששומר את כל הסיסמאות והטוקנים המקומיים, וכן מאגרי מידע מקומיים של אפליקציות תקשורת המוצפנות מקצה-לקצה, וכך לקרוא את כל ההודעות בהן. ולהוסיף חטא על פשע, הרוגלה שלחה את המידע הכבר-לא-מוצפן להאקרים על גבי הרשת בצורה לא מוצפנת, ובכך הגדילה את הסיכון שגורמים נוספים יוכלו ליירט אותו.

הרוגלה נמחקה מהמכשיר ברגע שבוצע בו איתחול מחדש, אולם (1) המידע שנגנב ממנו נשמר אצל ההאקרים ויכול היה לשמש אותם לפרוץ לשירותים שונים; (2) אם כבר התקינו זודנות אחרות על המכשיר, הן נשארו שם; (3) גלישה נוספת לאתרים הפרוצים הדביקה את המכשיר מחדש. חוקר האבטחה תומס ריד ממאלוורבייטס אמר שאין למשתמשים דרך לדעת אם המכשיר שלהם נפרץ בשיטה זו.

חוקרי גוגל מעריכים שאלפי אנשים בשבוע גלשו לאתרים הללו, ושהפירצה שימשה במשך שנתיים לפחות. גוגל הודיעו לאפל על הפירצה ב-½ ונתנו לה 7 ימים לסגור אותה, במקום 90 יום כמקובל. אפל אכן סגרו אותה תוך שישה ימים בטלאי אבטחה שגם סתם פירצה שאיפשרה לצותת לשיחות וידאו באפליקציית פייסטיים של החברה. החוקרים של גוגל מעריכים שיש פירצות דומות נוספות שטרם אותרו.

חוקרי סייבראבטחה מאשימים את אפל באחריות תורמת לפירצה הזאת. החברה אוסרת לבצע סריקות רוגלה על אייפונים, ובחנות האפליקציות של אייפון אסור להעלות תוכנות אנטיווירוס, מה שפוגע בסייבראבטחה של המשתמשים, ומה שאיפשר לרוגלה הספציפית הזאת להמשיך ולפעול בחשאיות פרק זמן ארוך כל כך.

הפירצה מדאיגה מאוד בפני עצמה, והתזמון של חשיפתה בעייתי גם הוא: באותו יום שבו החברה הודיעה על תאריך ההשקה של אייפון 11, ושלושה ימים אחרי שחרור בזק של טלאי אבטחה לאייפון עבור פירצה שהחברה כבר סגרה במאי השנה, אבל בטעות פתחה מחדש ביוני. הפירצה הזאת איפשרה לעקוף את ההגנות על המכשיר ולהפעילו בלעדיהן, מה שמכונה ג’יילברייק, הליך אהוב על האקרים, חוקרי סייבראבטחה ואנשים שלא אוהבים שאפל אומרים להם מה מותר ומה אסור לעשות במכשיר שקנו. משמעות הדבר היא שהפירצה גם חושפת את המכשיר לפריצה מרחוק על ידי האקרים. את הפירצה הזאת מצא חוקר סייבראבטחה שנוהג לשתף פעולה עם חוקרי פרוג’קט זירו של גוגל.

אפל וגוגל לא הגיבו לפניות התקשורת בנושא.

אני אבטחת המידע הרופסת של ג’ק

ביום שישי אחה”ץ (שעון ארה”ב) החל פרופיל הטוויטר@jack להשפריץ ציוצים וריטווטים מקושקשים, גזעניים ואנטישמיים. יותר מ-4 מיליון פרופילים עוקבים אחרי הפרופיל, ששייך לג’ק דורסי, מייסד-שותף ומנכ”ל החברה, מה שמשך תשומת לב ברשת החברתית.

כעשר דקות לאחר שהחלה, הפריצה נחסמה והציוצים נמחקו. דורסי לא צייץ מאז. קבוצת ההאקרים Chuckle Squad לקחה אחריות על הפיגוע. בפרופיל הרשמי של דוברות טוויטר נכתב כי הם מודעים לפריצה.

הציוצים נשלחו מאפליקציית Cloudhopper, שנרכשה לאחרונה על ידי טוויטר. כתב הטכנולוגיה ג’יימס או’מאלי העריך שהחשבון של דורסי עצמו לא נפרץ, אלא שירות קלאודהופר, שהחשבון של דורסי מחובר דרכו. דוברות טוויטר פרסמו ציוץ שאישר חלקית את התאוריה: “מספר הטלפון שמקושר לחשבון נפרץ בגלל חוסר תשומת לב של ספק הסלולר. זה איפשר לאדם בלתי מורשה לחבר ולשלוח ציוצים באמצעות הודעות סמס מאותו מספר טלפון. הסוגייה הזאת נפתרה”.

חשבונו של דורסי כבר נפרץ ביולי 2016 על ידי קבוצת ההאקרים OurMine, שפרצו לחשבונות מדיה חברתית של מספר בכירים בעמק הסיליקון, ובהם הטוויטרים של מנכ”לי טוויטר לשעבר דיק קוסטולו ואוו וויליאמס, הטוויטר של מנכ”ל פייסבוק מארק זאקרברג, הקוורה של מנכ”ל גוגל סונדאר פיצ’אי, והטוויטר של מנכ”ל ספוטיפיי דניאל אק. בפריצה לדורסי הם הסתפקו בציוץ פרסומי: “היי, זה OurMine, אנחנו בוחנים את האבטחה שלך,בקר ב-ourmine.org”.

בעקבות הפריצה אתמול לדורסי, העיתונאי או’מאלי תהה (ובדק) לכמה שירותי/אפליקציות ציוצים מחובר נשיא ארה”ב, דונלד טראמפ (לא כותרת של ה-Onion), כמה מיושנים/פרוצים הם, והאם האקרים יוכלו לפתוח באמצעותם במלחמה גרעינית. 

מדאיג יותר מה טראמפ עצמו מצייץ מהחשבון שלו. אתמול (ו’) פרסם טראמפ תצלום של אתר שיגור לוויין איראני שהופצץ בליווי מיקומו המפורש. הוא כתב ש”ארה”ב לא מעורבת בתאונה הקטסטרופית בשלבים האחרונים לקראת שיגור ה-Safir SLV באתר השיגור סנמן 1 באיראן. אני מברך את איראן ומאחל לה בהצלחה להבין מה קרה באתר שיגור 1″.זו לא הפעם הראשונה שטראמפ חושף סודות בטחוניים ברשת החברתית. ביולי 2017 חשף טראמפ בטוויטר תוכנית סודית של ה-CIA לחימוש מורדים סורים. בדצמבר 2018, בעת ביקור בבסיס אמריקאי בעיראק, פרסם טראמפ סרטון שחשף את מיקומו ופני אנשיו של צוות קומנדו של הנייבי סילז. ומוקדם יותר החודש, בציוץ שבו הקניט את רוסיה אחרי ששבעה אנשים נהרגו בתאונה גרעינית במתקן טילים במדינה, הוא ספק הזה-ספק פיברק-ספק חשף תוכנית אמריקאית סודית של טילי שיוט המונעים באמצעות מיני-כורים גרעיניים: “ארה”ב לומדת הרבה מהתפוצצות הטיל הכושלת ברוסיה. יש לנו טכנולוגיה דומה, אם כי יותר מפותחת”.

It is a bad idea for the President to tell the world the U.S. has secret nuclear powered super-weapons and that we’ve been lying about that for years. Especially if we don’t actually have them, which we almost certainly do not. https://t.co/pK0sNPRpeg

— David Burbach (@dburbach) August 12, 2019

---

הפינה “האחראי על האינטרנט” משודרת מדי שבת ב-19:30 בתוכנית “שישבת” בהגשת עידן קוולר בגלצ אות פתיחה: ניאן קאט של daniwell, ביצוע גיטרות לניאן קאט של The GAG Quarter והשיר Never Gonna Give You Up של ריק אסטלי תודה להדר בן יהודה על העזרה באיסוף הידיעות

תגובות

• מה זה פה?

  חדר 404 של עידו קינן הוא מגזין תרבות דיגיטלית, טכנולוגיה וחיי רשת. הקליקו למידע נוסף »

  Room 404 by Ido Kenan is an Israeli based digital culture magazine. Click for more info in English »

• רוצה להפיק פודקאסט?

  

• המלצת סייברסייבר (מ)

  

• פרנסה

  

• לאחרונה בחדר 404

  • ילד, רובוט התמיכה הרגשית שלך עומד למות 📻 האחראי על האינטרנט בגלצ
  • שליחות קטלנית בלי ביטוח רפואי 📻 האחראי על האינטרנט בגלצ
  • ה-NFL מזייפים את אלישה קיז, קנדה אייר מאשימים את הצ’טבוט ומפסידים 📻 האחראי על האינטרנט בגלצ
  • שתיקטוק 📻 האחראי על האינטרנט בגלצ
  • איך מדרגים בעברית? ⭐⭐⭐⭐⭐
  • שקר הביטקוין, קיץ חם במקרר של שופרסל, הצופן היווני ועוד עדכוני סייברסייבר
  • זום מסתבכת עם העובדים והמשתמשים 📻 האחראי על האינטרנט בגלצ
  • אילן מאסק ממשיך לחטוף יוזרים בטוויטר
  • ברכות לסופרת בינה מ. על כניסתה לרשימת רבי המכר של קינדל
  • פסיקה עלולה לתת למו”לים שליטה מוחלטת על השאלת ספרים דיגיטליים בספריות
  • תומכי נטלי דדון מבצעים לינצ’טרנט שנמוך דירוג בבית-קפה הלא-נכון
  • זעם נגד תרגום המכונה 📻 האחראי על האינטרנט בגלצ
  • מתמונות חתולים לפוליצר – חדשות באזזפיד נסגרים 📻 האחראי על האינטרנט בגלצ
  • תיק-תק לחסום את טיקטוק 📻 האחראי על האינטרנט בגלצ
  • 📺 זו תרבות ביטול על כלום 📻 האחראי על האינטרנט בגלצ

•