Apple Podcasts testowane przez hakerów. Oszuści próbują ataków
Aplikacja Apple Podcasts może zostać wykorzystana do ataków hakerskich. Odkryto ukryte łącza, które mogą ułatwić zainfekowanie urządzeń z systemami iOS i macOS.
Źrodło fot. Jukka Aalho; Unsplash.com; 2021
Eksperci zwrócili uwagę na „dziwne zachowanie” w aplikacji Apple Podcasts. Po dokładniejszej analizie wyszła na jaw próba wykorzystania programu do ataku na użytkowników urządzeń Apple. Z aktualnych informacji wynika, że oszuści dopiero testują różne formy ataku, wybierając do tego kategorie podcastów, które przyciągają mniejszą uwagę.
Apple Podcasts zostało użyte do ataków hakerskich
Serwis 404 Media podaje, że w ciągu kilku ostatnich miesięcy zauważono podejrzane zachowanie Apple Podcasts. Aplikacja uruchamiała nagrania, nawet te sprzed kilku lat, z których część była pozbawiona dźwięku. Tytuły nagrań zawierają ukryte odnośniki do innych stron internetowych i zidentyfikowano cztery z nich:
Iga Świątek mówi o swoich nawykach. Polska tenisistka w Polsce
- 5../XEWE2'""""onclic… (ten link przekierowywał do strony internetowej służącej do ataku XSS);
- free will, free willhttp://www[.]sermonaudio[.]com/rss_search.asp?keyword=free%will on SermonAudio;
- Leonel Pimentahttps://play[.]google[.]com/store/apps/detai;
- https://open[.]spotify[.]com/playlist/53TA8e97shGyQ6iMk6TDjc?.
Szczególnie problematyczne jest zachowanie aplikacji na macOS, gdzie Apple Podcasts może uruchomić wybrane przez hakera nagranie bez zgody użytkownika, o czym wspomina specjalista ds. bezpieczeństwa Patrick Wardle:
Odtworzyłem podobne zachowanie, ale przez przeglądarkę internetową. Odwiedzenie strony wystarczy, żeby uruchomić Apple Podcasts i załadować nagranie oszusta. W przeciwieństwie do innych zewnętrznych aplikacji nie pojawia się prośba o zgodę na włączenie.
Niestety, mimo wielomiesięcznych prób, Apple nie odpowiedziało na zapytanie w sprawie potencjalnej luki w zabezpieczeniach Apple Podcasts. Ekspert Joseph Cox, który opublikował doniesienia, uważa, że przynajmniej na ten moment zagrożenie nie jest duże, a użytkownicy programu są świadomi ryzyka, co pokazują oceny. Pod jednym z takich nagrań pojawiła się ocena z 1 gwiazdką i zapytaniem, dlaczego Apple pozwala na ataki XSS.
Z czasem jednak sytuacja może się pogorszyć. Zdaniem Wardle’a hakerzy dopiero badają grunt i potencjał Apple Podcasts do przeprowadzania innych ataków. Najbardziej może martwić milczenie firmy, ponieważ według Coxa Apple nie odpowiedziało na 5 maili w tej sprawie, podczas gdy regularnie odpowiadało na wiadomości dotyczące innych tematów.
