Nueve de cada 10 Mac e iOS Apps están completamente expuestas al robo de contraseñas

por Bitdefender Security Specialists, para 15 November 2016

Cerca del 88,6% de iOS y aplicaciones OS X que utilizan mecanismos de distribución de recursos y canales IPC están completamente expuestas a un acceso no autorizado de recursos de aplicación cruzada, o XARA, ataques, según un reporte realizado por investigadores de la Universidad de Indiana, Georgia Tech y la Universidad de Pekín.

"Las consecuencias de este tipo de ataques son devastadoras, y pueden llevar a la divulgación de la información más sensibles de los usuarios (por ejemplo, contraseñas) por parte de una aplicación maliciosa, incluso cuando estén dentro de un recinto de seguridad. Estos hallazgos, que creemos son sólo la punta del iceberg, y sin duda inspiran  la investigación y seguimiento sobre otros peligros Xara en las plataformas", alegaron los investigadores. "La nueva comprensión sobre la causa fundamental del problema es muy valiosa para el desarrollo de una mejor protección de aislamiento de aplicaciones para futuros sistemas operativos."

Servicios y canales críticos del sistema, incluyendo Keychain, WebSocket y Scheme, pueden ser explotadas para obtener acceso a los recursos de otras aplicaciones, e incluso el Sandbox de Apple en OS X pueden puede quebrase, exponiendo el directorio contenedor de una aplicación, concluyeron los investigadores.

El equipo logró subir de software malicioso a las tiendas de aplicaciones de Apple, pasó los procesos de control sin detección alguna, he instaló el malware en el dispositivo de la víctima y revisó el directorio en busca de contraseñas de servicios, incluidos iCloud y la aplicación de Correo Electrónico almacenadas dentro de Google Chrome. En comparación con el OS, iOS es más seguro, ya que no soporta el intercambio de credenciales.

Estos ataques podrían conducir a "filtraciones de contraseñas de usuario, fichas secretas y todo tipo de documentos sensibles", alegaron los investigadores. "Nuestra investigación muestra que, fundamentalmente, el problema viene de la falta de autenticación durante interacciones inter-aplicaciones y entre aplicaciones y el sistema, y además propone nuevas técnicas para detectar y mitigar tal amenaza."

 

Según The Register, el investigador principal, Luyi Xing cumplió con la petición de Apple de retener la publicación de la investigación por seis meses, pero no había recibido respuesta alguna desde ese entonces.

 

Los investigadores realizaron su análisis en las 1612 aplicaciones más populares de Mac y 200 aplicaciones de iOS.

Bitdefender Security Specialists

Bitdefender Labs