(VnMedia) - Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng trên điện thoại iPhone và máy tính bảng iPad, cho phép kẻ tấn công cài đặt ứng dụng giả mạo và chiếm quyền điều khiển máy.
Công ty bảo mật di động – FireEye, có trụ sở tại California gọi vấn đề này là "Masque Attack"- cho phép những kẻ tấn công có khả năng truy cập vào một lượng lớn thông tin cá nhân của người dùng trên iPhone và iPad.
Trong một đoạn video trình diễn một cuộc tấn công, điện thoại iPhone được gửi một đường dẫn URL để cài đặt một phiên bản mới của trò chơi “Flappy Bird”. Khi click vào đường dẫn đó, điện thoại sẽ yêu cầu người dùng xác nhận cài đặt của trò chơi, nhưng khi xác nhận những gì đã được tải về và máy cài đặt một phiên bản Gmail bị xâm nhập.
Ứng dụng Gmail mới cài đặt và người dùng khó có thể phát hiện được sự thay đổi này. Trên hình nền, chúng tải toàn bộ hộp thư mail lên máy chủ mà kẻ tấn công điều khiển. Mặt khác, kẻ tấn công cũng truy cập tới toàn bộ tin nhắn SMS được gửi tới điện thoại.
Việc truy cập tới cả email và tin nhắn SMS đã đủ đáng sợ nhưng nguy hiểm hơn, chúng sử dụng cho các đường dẫn thiết lập lại mật khẩu và mã PIN để truy cập tới các ứng dụng và thậm chí cả tài khoản ngân hàng.
Các lỗ hổng tồn tại trong các phiên bản iOS 7.1.1, 7.1.2, 8.0 và 8.1.1 beta và có thể vì iOS không kiểm tra tính hợp lệ của bộ nhận diện của ứng dụng – một chuỗi ID được cung cấp bởi mỗi ứng dụng. Nếu một ứng dụng giả sử dụng cùng một bộ nhận diện giống như một ứng dụng hợp pháp, iOS không nghi ngờ, thậm chí cả khi chúng đến từ các nguồn khác nhau, FireEye cho biết.
FireEye cho biết đã thông báo với Apple về vấn đề này từ ngày 26/7 nhưng đến giờ Apple vẫn chưa có động tĩnh gì. Tuy nhiên, FireEye khuyến cáo người dùng iPhone, iPad có thể tự bảo vệ mình chống lại các cuộc tấn công như vậy bằng cách, chỉ cài đặt các ứng dụng từ kho ứng dụng của Apple hoặc một cửa hàng đáng tin cậy. Người dùng được khuyến cáo không kích vào “install” trong cửa sổ Pop up mở ra từ các trang web của bên thứ ba.
Để kiểm tra xem có ứng dụng nào đã được cài đặt theo cách này, người dùng iOS 7 có thể kiểm tra trong "Settings> General> Profiles" đối với các mục đáng ngờ. Trong khi đó, điện thoại hoạt động trên iOS 8 mới nhất không thể kiểm tra được điều đó, FireEye cho biết.
Ý kiến bạn đọc