Google cho biết lỗ hổng bảo mật trên Iphone cho phép các website xâm nhập trái phép từ 2017 đến nay

Google tìm thấy một số trang web độc hại có thể xâm nhập vào iPhone. Ảnh CNET

Các nhà nghiên cứu bảo mật thuộc nhóm dự án Project Zero của Google đã tiết lộ rằng họ đã tìm thấy một số trang web độc hại đã cài đặt phần mềm độc hại vào iPhone của người dùng trong nhiều năm. Nếu mọi người truy cập một trong các trang web đó, tin nhắn, ảnh và dữ liệu vị trí của họ có thể đã bị xâm phạm. Nhóm đã báo cáo phát hiện của mình cho Apple vào đầu năm nay và lỗ hổng này đã được vá trong cùng một bản cập nhật sửa lỗi nghe lén trên FaceTime .

Lan Bia của nhóm Project Zero viết chi tiết về khám phá của nhóm "Không có sự phân biệt đối xử nào cả; chỉ cần truy cập trang web độc hại là đủ để máy chủ khai thác tấn công thiết bị của bạn và thiết bị của bạn đã bị cài đặt trình theo dõi." trong bài đăng trên Blog hôm thứ Năm. "Chúng tôi ước tính rằng các trang web này nhận được hàng ngàn khách truy cập mỗi tuần."

Iphone được coi là thiết bị có độ an toàn cao,các cuộc tấn công sẽ là một lỗ hổng hiển thị hiếm gặp cho iPhone. Apple đã treo thưởng tới 1 triệu USD cho các nhà nghiên cứu bảo mật có thể tìm thấy các lỗ hổng nghiêm trọng trên thiết bị của mình. Thông thường, các cuộc tấn công vào iPhone rất khó thực hiện và thường giới hạn trong hoạt động gián điệp giữa các quốc gia . Chưa rõ ai đứng sau cuộc tấn công này, và cuộc tấn công có thể làm hàng triệu Iphone rò rỉ thông tin cá nhân  chỉ bằng một lần truy cập. 

Theo Thomas Reed giám đốc mảng bảo mật Mac và thiết bị di động công ty bảo mật internet  Malwarebytes cho biết "Điều này luôn có thể xảy ra, nhưng chi phí cho các lỗ hổng này trên thị trường mở có nghĩa là chúng chưa bao giờ được sử dụng trong một cuộc tấn công như thế này trước đây". Trước đây, phần mềm độc hại iOS chủ yếu được sử dụng trong các cuộc tấn công nhắm mục tiêu của các quốc gia. Bằng cách nhắm mục tiêu vào những người cụ thể, họ hạn chế sự phơi bày của các lỗ hổng được sử dụng, bảo vệ họ trước sự phát hiện của Apple."

Việc hack không hoạt động với bất kỳ lỗ hổng duy nhất nào. Nhóm của Google phát hiện ra rằng họ đã sử dụng 14 lỗ hổng zero-day trên năm chuỗi khai thác riêng biệt.  Các tin tặc nhắm vào người dùng iPhone trong ít nhất hai năm từ IOS 10 đến phiên bản hiện tại là IOS 12. Khi Google tiết lộ lỗ hổng cho Apple vào tháng 2, công ty đã phát hành một bản vá chưa đầy một tuần sau đó. 

Hacker toàn quyền kiểm soát iPhone của nạn nhân, cho phép chúng cài đặt các ứng dụng độc hại, lấy dữ liệu vị trí trong thời gian thực và đánh cắp ảnh và tin nhắn, ngay cả khi chúng được mã hóa.  Các nhà nghiên cứu của Google cho biết, phần mềm độc hai có quyền truy cập sâu vào thiết bị, nó có thể đọc được nội dung tin nhắn trước khi chúng được mã hóa. Điều quan trọng nữa là phần mêm độc hại truy cập vào khóa của thiết bị (Nguyên văn tiếng anh device's keychain), bao gồm mật khẩu và tệp cơ sở dữ liệu được sử dụng bởi các ứng dụng nhắn tin được mã hóa đầu cuối như WhatsApp, Telegram và iMessage.

Các thông tin cá nhân của người dùng được hacker lấy cắp và gửi dữ liệu đó đi không cần mã hóa, đồng nghĩa với việc bất kỳ ai trên cùng một mạng Wi-Fi cũng có thể thấy tất cả nội dung đã bị đánh cắp đó. 

Reed cho biết thêm, phần mềm độc hại sẽ bị xóa khỏi thiết bị nếu người dùng khởi động lại iPhone của họ, nhưng sẽ quay lại nếu họ truy cập một trong các trang web độc hại một lần nữa. Ngoài ra, ngay cả khi phần mềm độc hại bị xóa, hacker có thể gây ra nhiều thiệt hại cho bạn hơn với mật khẩu, tin nhắn riêng tư mà họ lấy được. Và không có cách nào để bạn kiểm tra xem bạn có bị ảnh hưởng của hacker hay không .

Các nhà nghiên cứu bảo mật cho biết hệ điều hành IOS không cho phép quét phần mềm độc hại và đây là nguyên nhân khiến lỗ hổng không bị phát hiện ít nhất 2 năm trở lại đây.

Ông Reed nói rằng "Bản chất của iOS là nhằm giữ an toàn cho các thiết bị, trong trương hợp này có thể có tác dụng ngược lại bởi nó ngăn chặn việc phát hiện cuộc tấn công"

Apple đã từ chối bình luận, nhưng hãy đảm bảo iPhone của bạn được cập nhật mới nhất để ngăn ngừa lỗ hổng này.

Theo Tạp chí Điện tử