אָנדרעי האָלצמאַן ינאַטענטיוו און אָפּגעלאָזן יאָס יוזערז האָבן נאָך דיינדזשערז. נאָר אַ וואָך נאָך די ופדעקונג WireLurker מאַלוואַרע זיכערהייט פירמע FireEye האט מודיע אז זי האט אנטדעקט נאך א זיכערהייט לאך אין יפאנעס און אייפאדס וואס קענען זיין אטאקעט מיט א טעכניק גערופֿן "מאַסקווע אַטאַק". עס קענען עמיאַלייט אָדער פאַרבייַטן יגזיסטינג אַפּלאַקיישאַנז דורך שווינדל דריט-פּאַרטיי אַפּלאַקיישאַנז און דערנאָך באַקומען באַניצער דאַטן.
יענע וואס אראפקאפיע אַפּלאַקיישאַנז צו יאָס דעוויסעס אויסשליסלעך דורך די אַפּ סטאָר זאָל נישט זיין דערשראָקן פון די מאַסקע אַטאַק, ווייַל די נייַע מאַלוואַרע אַרבעט אַזוי אַז דער באַניצער דאַונלאָודז אַ אַפּלאַקיישאַן אַרויס די באַאַמטער ווייכווארג קראָם, צו וואָס אַ פראָדזשאַלאַנט E- בריוו אָדער אָנזאָג ( פֿאַר בייַשפּיל, מיט אַ אראפקאפיע לינק נייַ ווערסיע פון די פאָלקס שפּיל פלאַפּפּי בירד, זען ווידעא אונטן).
אַמאָל דער באַניצער קליקט אויף די פראָדזשאַלאַנט לינק, זיי וועלן זיין גענומען צו אַ וועב בלאַט און זיי בעטן זיי צו אָפּלאָדירן אַ אַפּ וואָס קוקט ווי פלאַפּפּי בירד, אָבער איז פאקטיש אַ שווינדל ווערסיע פון Gmail וואָס ריינסטאַל די אָריגינעל אַפּ וואָס איז לאַדזשיטאַמאַטי דאַונלאָודיד פון די אַפּ סטאָר. . די אַפּלאַקיישאַן האלט צו ביכייווז אין די זעלבע וועג, עס נאָר ופּלאָאַדס אַ טראָדזשאַן פערד אין זיך, וואָס קריייץ אַלע פערזענלעכע דאַטן פון עס. די באַפאַלן קען נישט בלויז זארגן Gmail, אָבער אויך, למשל, באַנקינג אַפּלאַקיישאַנז. אין אַדישאַן, דעם מאַלוואַרע קענען אויך אַקסעס די אָריגינעל היגע דאַטן פון אַפּלאַקיישאַנז וואָס האָבן שוין אויסגעמעקט, און באַקומען, למשל, געראטעוועט לאָגין קראַדענטשאַלז.
[יאָוטובע שייַן = "76ogdpbBlsU" ברייט = "620 ″ הייך = "360 ″]
שווינדל ווערסיעס קענען פאַרבייַטן די אָריגינעל אַפּ רעכט צו דעם פאַקט אַז זיי האָבן די זעלבע יינציק לעגיטימאַציע נומער וואָס עפּל גיט צו אַפּפּס, און עס איז זייער שווער פֿאַר יוזערז צו ויסטיילן איינער פון די אנדערע. די פאַרבאָרגן שווינדל ווערסיע דעמאָלט רעקאָרדס E- פּאָסט אַרטיקלען, SMS, טעלעפאָן קאַללס און אנדערע דאַטן, ווייַל יאָס טוט נישט ינערווין קעגן אַפּלאַקיישאַנז מיט יידעניקאַל לעגיטימאַציע דאַטן.
Masque Attack קענען נישט פאַרבייַטן פעליקייַט יאָס אַפּפּס ווי Safari אָדער Mail, אָבער עס קענען לייכט באַפאַלן רובֿ אַפּפּס דאַונלאָודיד פֿון די אַפּ סטאָר און איז פּאַטענטשאַלי אַ גרעסערע סאַקאָנע ווי די WireLurker דיסקאַווערד לעצטע וואָך. עפל האט שנעל רעאגירט אויף WireLurker און אפגעשטעלט פירמע סערטיפיקאטן דורך וועלכע אפליקאציעס זענען אינסטאלירט געווארן, אבער Masque Attack ניצט אייגנארטיגע אידענטיפיקאציע נומערן צו אינפילטירן די עקזיסטירנדע אפליקאציעס.
זיכערהייט פירמע FireEye געפונען אַז די מאַסקע אַטאַק אַרבעט אויף יאָס 7.1.1, 7.1.2, 8.0, 8.1 און 8.1.1 ביתא, און עפּל איז געזאגט צו האָבן געמאלדן דעם פּראָבלעם אין שפּעט יולי דעם יאָר. אָבער, די יוזערז זיך קענען זייער לייכט באַשיצן זיך קעגן די פּאָטענציעל געפאַר - נאָר טאָן ניט ינסטאַלירן קיין אַפּלאַקיישאַנז אַרויס די אַפּ סטאָר און טאָן ניט עפענען קיין סאַספּישאַס פֿאַרבינדונגען אין E- מיילז און טעקסט אַרטיקלען. עפּל האט נישט נאָך קאַמענטאַד אויף די זיכערהייט פלאָ.
עפל האט א שלעכט יאר. פלעקסאַבאַל פאָנעס, די אוממעגלעך פון רופן פון די טעלעפאָן, זיכערהייט האָלעס ווי אַ חזיר, האַלב-פאַנגקשאַנאַל וויפי אין יאָסעמיטע (דאָס איז די קאָליר פון יעדער בויען). ווו זענען די טעג ווען עפּל האט טינגז רעכט? איך ווייס, עס איז געווען פארן טויט פון ש.דזשאבס...
אָבער, די יוזערז זיך קענען זייער לייכט באַשיצן זיך קעגן די פּאָטענציעל געפאַר - נאָר טאָן ניט ינסטאַלירן קיין אַפּלאַקיישאַנז אַרויס די אַפּ סטאָר און טאָן ניט עפענען קיין סאַספּישאַס פֿאַרבינדונגען אין E- מיילז און טעקסט אַרטיקלען.
אָבער דאָס האָט נאָך נישט געארבעט, ווייַל אויב עס געארבעט, מאַלוואַרע און ווירוסעס פשוט טאָן ניט עקסיסטירן הייַנט :)
עס האט נישט געארבעט פאר "אויפגעהערטע מענטשן", וואס די טשעכיע איז פול מיט, און דערפאר זענען די געזעצן און בפרט די וועג געזעצן נאר א וויץ פאר זיי, און נישט צוהערן צו די רעקאמענדאציע וועגן אומאפיציעלע ווייכווארג איז אויך א וועג צו צעשטערונג. אַזוי עס וואָלט אַרבעט אויב נישט פֿאַר די פאַרדאָרבן פּסיכאָלאָגיע;)
איך וואלט נישט אריינגענומען די וועג געזעצן, ליידער זענען זיי נישט געשריבן צו מאכן זיכערער אונזערע וועג, נאר צו שטיצן די מוניציפאלע פאליציי און שטיצן איינקונפט אויב עס גייט צו די מוניציפאלע קאסע :((((
אָבער דאָס איז נישט די דיסקוסיע דאָ :)
איך בין מער אינטערעסירט אין די פּסיכאָלאָגיע פון מענטשן, ספּעציעל פון די טשעכיי. אויב אַנשטאָט פון 1 פּאַק פון סיגאַרעטטעס זיי געקויפט 90 אַפּפּס פֿאַר 4 סענס יעדער און זיי נישט אראפקאפיע פֿון אַנאַפישאַל קוואלן און נישט דזשאַילברעאַק זייער יפאָנעס, זיי וואָלט נישט האָבן צו וויינען וועגן פאַרלירן זייער טייַער דעוויסעס :)
אַוודאי איז דער גאַנצער פֿאָדעם געשאַפֿן געוואָרן אין רעאַקציע צו דער שטות־נבואה: "זינט דזשאָבס'ס פּטירה, גייט אַלץ גוט, און דאָס יאָר בפרט"
איך האב פשוט נישט געפעלט די פארגלייך. אין די לעצטע 2 יאר, א דאנק מיינע פרענדז, בין איך געפאלן אין דעם טעמע און איך האב נישט ליב וואס עס טוט זיך דארט און עס איז מאל זייער עקלדיק :(
איך בין מודה אז מיין תגובה וואס איז ארויפגעלייגט געווארן אויפן פארום איז מעגליך ארויסגעקומען פון כעס, אבער דאס בין איך, איך קום גלייך צו די נקודה אן קיין פרילז און איך האב נישט קיין פראבלעם צו זיך אויפרעגן, איך שרייב נאר מיין מיינונג. צום באַדויערן, מאל עס איז אַפֿילו בייַ די פּרייַז אַז איך טראַכטן איך געשריבן מיין מיינונג פאַרשטיייק, אָבער מענטשן טאָן ניט וויסן וואָס איך מיינען :(
איך האָב פריער פארשטאנען די אַנאַלאַדזשי צו פּסיכאָלאָגיע, אָבער איך טראַכטן אַז די נייַע אַנאַלאַדזשי (וועגן די קעסטל, אָבער נישט 4x אַפּלאַקיישאַנז) איז פיל מער פּינטלעך.
לייג דזשאָבס: איך טראַכטן עפּל איז דערווייַל קוקן. כאָטש זיי האָבן נישט אַ פירער ווי S.Jobs, זיי זענען נישט אַזוי שלעכט. זיי האָבן אַ פּלאַץ פון יקספּיריאַנסט און ינטעליגענט מענטשן וואָס וועלן קענען צו קומען אַרויף מיט טשיקאַווע זאכן, אָבער עס נעמט צייט. פּערסנאַלי, איך טראַכטן אַז עס וועט זיין מעגלעך צו פאַרגלייַכן עפּל הייַנט און עפּל מיט ס.דזשאָבס ביז 10 יאר נאָך זיין אָפּפאָר, ביז דעמאָלט עס ס נאָר שרייַען, אָבער דאָס איז נאָר מיין מיינונג...
מסכים לגמרי ;)
זיי האָבן זיכערהייט האָלעס פריער און גאַנץ מער באַטייטיק ווי דעם ... פֿאַר בייַשפּיל, זיי צוגעגעבן די ASLR שיכטע אין OSX 10.5, אָבער עס איז גאָר פאַנגקשאַנאַל בלויז אין 10.7 (אויב איך בין נישט טעות אין די ווערסיע), געפֿינען די דערקלערונג פון זיכערהייט מומחה Dino Dai Zovi. ווי פֿאַר לעצטע באַגז, געפֿינען אינפֿאָרמאַציע אויף העאַרטבלעעד, שעל שאַק ...
זיכערהייט באַגז, זענען, זענען און וועט זיין, קיין ענין אויב איר נוצן לינוקס, ווינדאָוז, אָסקס, קראָום ... עס איז בלויז אַ ענין פון צייט ביז אָסקס אָדער לינוקס ווערט מער וויידספּרעד און די סיסטעמען ווערן מער אַטראַקטיוו פֿאַר מאַלוואַרע קריייטערז, איר נאָר קענען נישט ויסמיידן עס און אויב איר זאָגן אַז אַ סיסטעם איז "אָן ערראָרס" (ווי איך אַמאָל געזאגט וועגן לינוקס), איר זענט נאָר ליגנעריש צו דיין קעשענע ...
דורך דעם וועג, אויב איר ווילן צו זיין דערשראָקן, געפֿינען אינפֿאָרמאַציע וועגן דעם יאָר ס שוואַרץ האַט זיכערהייט זיצונג און היטן די רעפֿעראַטן וועגן וסב פירמוואַרע וואַלנעראַביליטיז, דאָס איז אויך אַ באָמבע זאַך :)
אַנאָנימע: דאָס איז ווידער אַ בולשיט, עס דערמאנט מיר פון סאָבאָטקאַ. איך רעקאָמענדירן סוויטשינג צו אן אנדער פּלאַטפאָרמע און באַקומען באַפרייַען פון יאָס און מעק אַס ווען S.Jobs איז ניטאָ. דעמאָלט איר וועט זיין צופֿרידן.
און אויף די מערסט דזשאַילבראָוקאַן מיטל, טאָן זיי ינסטאַלירן אַפּלאַקיישאַנז פֿון ערגעץ אַנדערש ווי די אַפּפּסטאָרע?
איך וואָלט אויך זיין אינטערעסירט אין דעם. ווייַל איך האָבן קיינמאָל געזען אין מיין יאָס די מעגלעכקייט צו ינסטאַלירן אַ אַפּלאַקיישאַן אנדערע ווי דורך די אַפּפּסטאָרע. ווען "ינסטאַלירן" פּאָפּ אַרויף אין דעם ווידעא, איך קיינמאָל געזען עס.
יאָ, איר נאָר דאַרפֿן צו האָבן די אַפּלאַקיישאַן געחתמעט מיט אַן ענטערפּרייז באַווייַזן, און עס קענען זיין אינסטאַלירן אויף דעם וועג.
עס אַרבעט נישט אָן אַ דזשאַילברעאַק. אָדער שיקן די לינק און איך וועל פּרובירן צו ינסטאַלירן די אַפּלאַקיישאַן אויף מיין iPhone אָן דזשאַילברעאַק אין דעם וועג.
Lukas Palda איז רעכט. עס איז מעגלעך, אָבער עס זענען ווייניק טעק אַפּלאַקיישאַנז אָדער זיי זענען אַזוי אַנינטראַסטינג אַז איר טאָן ניט וויסן וועגן זיי, אָבער עס איז מעגלעך :)
אַזוי נאָר אראפקאפיע Storu און די פּראָבלעם איז איבער
העלא אַלעמען... לויט מיר און דעם אַרטיקל, עס איז גענוג צו נאָכפאָלגן די גרונט כּללים, ווי ווען ניצן אנדערע דעוויסעס קאָננעקטעד צו די נעץ (ראַגאַרדלאַס פון צי עס איז יאָס, אַנדרויד, WIN, אאז"ו ו) = טאָן ניט גיט אויף אַטאַטשמאַנץ פון אומבאַקאַנט סענדערס, טאָן ניט שפּילן טריקס און שפּילן אַ יקספּיריאַנסט "האַקער", טאָן ניט אראפקאפיע סאַספּישאַס טעקעס... איך לייענען אַן ענלעך אַרטיקל אויף די "יענטע" novinky.cz און אויב עמעצער וויל צו שאַטן קיין פירמע, זיי וועלן געפֿינען אַ וועג ...
פֿאַר די וואס טראַכטן אַז עס איז גענוג נישט צו האָבן אַ דזשאַילברעאַק און ינסטאַלירן אויסשליסלעך פֿון די אַפּפּסטאָרע:
http://www.fireeye.com/blog/technical/cyber-exploits/2014/11/masque-attack-all-your-ios-apps-belong-to-us.html
פֿון דעם פּאַראַגראַף: "יאָס יוזערז קענען באַשיצן זיך פון מאַסקע אַטאַקס דורך די פאלגענדע דריי סטעפּס: ...".
קיצער: נאָך קליקינג אויף אַ לינק אין אַן E- בריוו אָדער SMS, אַ דיאַלאָג קעסטל מיט די אָפּציע "ינסטאַלירן" (אָדער Trust Developer) קען אויך דערשייַנען צו איר. אַז איז פאקטיש די עסאַנס פון דעם פּראָבלעם.
איר קען טראַכטן אַז איר טאָן ניט קליקינג אויף די לינקס, אָבער דיין פרענדז, משפּחה, אאז"ו ו. זיי טאָן ניט האָבן צו האָבן עס וויסן ווי איר, און דעריבער עס איז קעדייַיק צו אָנווייַזן זיי נישט צו גיט אויף "ינסטאַלירן" און אַזוי אויף.
___
איך האב איבערגענומען פון root.cz