KEYRAIDER ЗАРАЗИЛ 225 940 ДЖЕЙЛБРЕЙКНУТЫХ «АЙФОНОВ»
https://xakep.ru/wp-content/uploads/2015/09/0022.jpg
Исследователи из Palo Alto Networksобнаружили новое семейство зловредов, нацеленных на поражение джейлбрейкнутых смартфонов Apple. Вредонос KeyRaider установлен на четверть миллиона устройств. С каждого снимаются учетные данные для аккаунтов Apple и отправляются на удаленный сервер. Таким образом, произошел один из крупнейших взломов аккаунтов Apple в истории. Хуже всего, что база угнанных аккаунтов открыта для всех желающих.

Как обычно, зловред распространяется через каталог программного обеспечения Cydia, свободную альтернативу App Store. Вредоносный код KeyRaider добавлен к легитимным программам для «настройки джейлбрейка» (jailbreak tweak) и незаметно устанавливается на мобильное устройство жертвы. Распространением занимается пользователь Миша (mischa07).

Репозиторий Миши и фрагмент кода программы

https://xakep.ru/wp-content/uploads/2015/09/005.png

https://xakep.ru/wp-content/uploads/2015/09/006.png

По информации Palo Alto Networks, от действий зловреда пострадали пользователи как минимум восемнадцати стран, особенно тех, где пользователи Apple любят делать джейлбрейк. Это Китай и Россия. Кроме них, пострадали пользователи из Франции, Японии, Великобритании, США, Канады, Германии, Австралии, Израиля, Италии, Испании, Сингапура и Южной Кореи.

Самое интересное, что иногда инфекция не ограничивается только кражей учетных данных. В некоторых случаях KeyRaider берет телефон в заложники и требует выкупа. Отмечены и случаи несанкционированного снятия денег со счетов отдельных пользователей.

https://xakep.ru/wp-content/uploads/2015/09/0031.png

Кроме 225 000 украденных аккаунтов, хозяева KeyRaider получили в свое распоряжение тысячи сертификатов, секретных ключей шифрования и счетов с финансами.

Собранную информацию зловред отправляет на командный сервер, который и сам страдает от наличия уязвимости с внедрением SQL-кода, что делает конфиденциальную информацию пользователей открытой, теоретически, для всех желающих. Примерно 20 000 аккаунтов в базе содержат в открытом виде имя пользователя, пароль и GUID, остальная часть зашифрована.

https://xakep.ru/wp-content/uploads/2015/09/004.png

Взломав сервер с помощью этой уязвимости, специалисты Palo Alto Networks получили точную информацию о количестве угнанных Apple-аккаунтов: 225 941. Возможно, вскоре база появится в торрентах.