Applen iPhone on nyt kohdannut ensimmäisen haitallisen matonsa. Ongelma koskee vain lukituksista murrettuja iPhoneja. Tuoreinkin mato hyödyntää samaa haavoittuvuutta, josta olemme kertoneet jo aiemmin kolmesti: ensin sen kautta annettiin varoitus käyttäjälle, seuraavaksi iPhone "rickrollattiin" ja tämän jälkeen iPhoneen tallennettuja tietoja varastettiin.
Haavoittuvuus koskee vain lukituksista avattuja iPhoneja, joihin on asennettu openSSH, jonka salasanaa ei ole muutettu vakioasetuksesta ("alpine"). Monilta osaamattomammilta käyttäjiltä salasana jää varmasti vaihtamatta esimerkiksi epähuomiossa. iPhoneja avataan lukituksista, eli jailbreakataan, jotta niihin pystyisi asentamaan sovelluksia myös muualta kuin Applen App Storesta. Lisäksi jailbreak on edellytys muun muassa operaattorilukitusten murtamiselle.
Uusin ja toistaiseksi ilkeämielisin mato leviää toistaiseksi vain Alankomaissa ja yrittää varastaa verkkopankin sisäänkirjautumistiedot. Mato aktivoituu käyttäjän siirtyessä verkkopankkiin. Se esittää virallisen näköisen, mutta väärennetyn ING Direct -verkkopankkipalvelun sisäänkirjautumissivun ja pyrkii nappaamaan käyttäjän tiedot ja lähettämään ne Liettuassa sijaitsevalle palvelimelle, mikä avaa hyökkääjälle mahdollisuuden rahojen kähveltämiseen.
Mato levittäytyy samaan WLAN-verkkoon kytkeytyneisiin, haavoittuvuudelle alttiisiin iPhoneihin. Toistaiseksi saastuneita epäilään olevan Alankomaissa satoja.
Tuoreimmasta madosta ovat kertoneet muun muassa AppleInsider-sivusto sekä suomalainen tietoturvayhtiö F-Secure blogissaan.
seppo23 (vahvistamaton) @ 23.11.2009 19:32
Voiko tää tulla kans ipod touchiin?
questo @ 23.11.2009 19:46
Ei voi tulla touchiin koska mato hyödyntää erästä yhteys haavoittuvuutta iphone puhelin ominaisuuksissa.
questo @ 23.11.2009 19:46
Ei voi tulla touchiin koska mato hyödyntää erästä yhteys haavoittuvuutta iphone puhelin ominaisuuksissa.
Porrni @ 23.11.2009 19:55
Vähän harhaanjohtava otsikko tällä uutisella.
FerrariHX @ 23.11.2009 21:43
Siis sama haavoittuvuus on myös iPod Touchissa(SSH), mutta se kun ei ole suurimmaksi osaksi aikaa wlaniin kytkettynä ni se ei ole niin käytännöllistä. Luulen kylläkin että iphonen ja ipodin kansiopolku on hieman erilainen joten mato ei toimi ipodiin ainakaan vielä o.0
Hage452 @ 23.11.2009 23:29
Alkaa varmastikkin iluuri olla pikku hiljaa mielenkiintoinen kohde matojen kehittäjille, koska käyttäjämäärät alkavat olla jo sen verran suuria. Saa nähdä mitä tulevaisuus tuo tullessaan...
tumii @ 24.11.2009 07:37
iPod touch ja iPhone käyttää tismalleen samaa käyttistä, joten kansiorakenne ei ole yhtään erilainen. iPhone on sama kuin iPod touch, mutta puhelin- ja muilla verkko-ominaisuuksilla varustettuna.
Ja ite ainakin kun oli iPod touch 1st Gen, oli siinä openSSH, joten luulisi tuon saman haavoittuvuuden olevan siinäkin.
Porrni @ 24.11.2009 09:38
Tämä reikä on vain jailbroken iphonessa johon ei ole laitettu root salasanaa... eli vain jos ei tiedä mitä tekee niin on riskin altis. :)
iKnow (vahvistamaton) @ 24.11.2009 10:40
@8 Eli kuinka ison osaa jail braketun iPhonen omistajia tämä koskee? Sanoisin, että huomattavaa osaa.
Porrni @ 24.11.2009 10:42
Totta, kantsii lukea manuali :)
Dreamlore @ 24.11.2009 12:49
Lainaus, alkuperäisen viestin kirjoitti Porrni: Tämä reikä on vain jailbroken iphonessa johon ei ole laitettu root salasanaa... eli vain jos ei tiedä mitä tekee niin on riskin altis. :) Johon ei ole vaihdettu oletussalasanaa. Ja eikö tuota SSH-serveriä pidä vielä pitää erikseen pystyssäkin? Jos nuo kaikki onnistuu tekemään, niin kyllä sietääkin saada puhelimensa jumiin, pankkitilinsä tyhjäksi sekä autonsa varastetuksi.
Matkakaverina Asus EeePC 701 | Ubuntu 9.04 | Nokia 5800XM |
Porrni @ 24.11.2009 12:55
Lainaus, alkuperäisen viestin kirjoitti Dreamlore: Lainaus, alkuperäisen viestin kirjoitti Porrni: Tämä reikä on vain jailbroken iphonessa johon ei ole laitettu root salasanaa... eli vain jos ei tiedä mitä tekee niin on riskin altis. :) Johon ei ole vaihdettu oletussalasanaa. Ja eikö tuota SSH-serveriä pidä vielä pitää erikseen pystyssäkin? Jos nuo kaikki onnistuu tekemään, niin kyllä sietääkin saada puhelimensa jumiin, pankkitilinsä tyhjäksi sekä autonsa varastetuksi. Yep, oikeassa olet. ;)
Asentaja (vahvistamaton) @ 24.11.2009 16:38
Jos osaa jailbreikata puhelimensa ja asentaa openSSH, niin pitäisi osata vaihtaa myös rootin salasana.
Yhdyn Dreamloren kommenttiin.