Cảnh báo: Lỗ hổng mới trên iPhone, hacker gửi email, nạn nhân không mở cũng bị tấn công

Trên iPhone và iPad được cài đặt sẵn ứng dụng email. Tuy nhiên ứng dụng này đang có 2 lỗ hổng nghiêm trọng mà hacker có thể lợi dụng để âm thầm chiếm quyền kiểm soát các thiết bị từ xa bằng cách thông qua việc gửi email đến người dùng.

Các nhà nghiên cứu an ninh mạng tại ZecOps cho biết các lỗ hổng nói trên liên quan đến vấn đề ghi tràn (out-of-bound write) và tràn bộ nhớ từ xa. Một trong số đó là lỗi “zero-click” cực kỳ nguy hiểm. Các hacker có thể lợi dụng lỗi này bằng cách gửi email tới người dùng mà không cần bất kỳ tương tác nào từ người nhận.

Cả hai lỗi thực thi mã từ xa nằm trong thư viện MIME của ứng dụng email trên iPhone, iPad đều có thể được kích hoạt trong khi đang xử lý nội dung email. Thực tế thì lỗi này không phải quá mới mà nó đã từng xuất hiện và tồn tại từ đời iOS 6 và ảnh hưởng đến cả iOS 13.4.1 mới nhất.

Điều đáng lo ngại là các hacker lợi dụng kẽ hở đó để nhắm vào người dùng cá nhân cùng như tổ chức. Các nhà nghiên cứu cho biết: “Với lượng dữ liệu rất hạn chế, chúng tôi đã có thể thấy được ít nhất 6 tổ chức bị tác động bởi lỗ hổng này – và quy mô tác động của lỗ hổng này là cực kỳ rộng lớn”.

“Dù ZecOps chưa khẳng định được những cuộc tấn công này do một cá nhân cụ thể nào thực hiện, chúng tôi nắm được rằng có ít nhất một tổ chức ‘hacker đánh thuê’ đang bán các công cụ lợi dụng các lỗ hổng liên quan đến địa chỉ email”.

Trên thực tế, rất khó để phát hiện người dùng Apple đã bị hacker tấn công qua email hay chưa, bởi các hacker đã xoá ngay email độc hại sau khi nắm được quyền truy xuất từ xa vào thiết bị của nạn nhân.

“Đáng chú ý là, dù dữ liệu xác nhận rằng các email bị lợi dụng đã được nhận và xử lý bởi thiết bị iOS của nạn nhân, các email tương ứng lẽ ra đã được nhận và lưu trữ trên máy chủ email lại biến mất. Do đó, chúng tôi đoán rằng những email này đã bị xoá có chủ đích như một phần trong kế hoạch dọn dẹp hiện trường sau một vụ tấn công” – các nhà nghiên cứu nói.

“Ngoài việc ứng dụng email trên di động tạm thời bị chậm lại một chút, người dùng sẽ không quan sát thấy bất kỳ hành vi bất thường nào khác”.

Các hacker sẽ chạy một đoạn mã độc cùng với ứng dụng MobileMail hoặc Maild sau khi lợi dụng được lỗ hổng thành công. Điều này giúp hacker làm rò rỉ, chỉnh sửa và xoá email một cách đơn giản. Tất nhiên, để nắm quyền điều khiển hoàn toàn thiết bị từ xa, hacker cần kết hợp nó với một lỗ hổng bảo mật khác trong nhân hệ thống.

ZecOps phát hiện những lỗ hổng này từ gần 2 tháng trước và cảnh báo với nhóm bảo mật của Apple. Đến thời điểm này, chỉ có phiên bản iOS 13.4.5 beta vừa được tung ra hồi tuần trước là có chứa các bản vá bảo mật khắc phực cả 2 lỗi này.

Do đó những ai sử dụng bản iOS 13.4 trở xuống thì nên thận trọng. Tốt nhất không nên dùng email tích hợp sẵn trên máy, thay vào đó hãy sử dụng Outlook hoặc Gmail.