iOS-троян, распространяющийся через уязвимость в Apple DRM, успешно прорвался в App Store. Трижды. dl // 16.03.16 20:43
Жесткие правила премодерирования App Store долгое время заставляли считать его едва ли не неприступной крепостью, особенно на фоне той помойки, в которую давно превратился Google Play Market. [Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/08.html] Правда, в сентябре уже был неприятный звоночек, но в той атаке были задействованы уже существующие популярные приложения, что, видимо, ослабило бдительность цензоров.
Сейчас же сообщается сразу о трех попавших в App Store троянах семейства AceDeceiver, впервые использующих для своего распространения технику "FairPlay Man-In-The-Middle" (до сих пор она активно использовалась для установки пиратских приложений на iOS-устройства без jailbreak). Что любопытно, все трояны прикидывались сборниками обоев и неоднократно проходили модерацию. Причем сам факт их удаления из App Store уже никак не влияет на возможность проведения атаки - достаточно того, что они уже там побывали.
Идея атаки основана на перехвате запросов FairPlay, которые позволяют покупать приложения из AppStore в десктопном iTunes. Полученный код авторизации затем передается на устройство для подтверждения факта покупки. При проведении атаки полученный код используется дополнительным клиентским приложеним, имитирующим поведение iTunes, которое позволяет обмануть подключенное iOS-устройство и установить на него любое приложение без ведома пользователя.
В данном случае роль вспомогательного приложения играл Aisi Helper, популярный китайский клиент, обеспечивающий управление iOS-устройствами, джейлбрейк, бэкап, а также установку спираченных приложений и игр из левого магазина приложений даже на устройства без джейлбрейка. Установленный AceDeciver мог работать и действительно как сборник обоев, и как клиент того самого стороннего аппстора. В последнем случае он активно выманивал пользовательские AppleID с паролями и аккуратно складывал их на свой сервер - разумеется, искренне обещая пользователям, что никакие пароли никуда не уходят.
Слабым утешением может служить то, что в данном конкретном случае атакующий режим включался только для пользователей из континентального Китая.
