CISA ha aggiunto Apple CVE-2024-27834 al suo catalogo Known Exploited Vulnerabilities (KEV) dopo segnalazioni di sfruttamento attivo. La falla è un bypass dell'autenticazione del puntatore, e gli attacchi la userebbero per distribuire malware finalizzato al furto di informazioni. Il dettaglio importante è che Apple ha già corretto questo bug nel 2024. Se i tuoi dispositivi sono aggiornati, il rischio pratico è basso. Se non lo sono, installare l'aggiornamento Apple CVE-2024-27834 info-stealer è la cosa più utile che puoi fare oggi.

Cosa dice CISA su CVE-2024-27834

Il catalogo KEV di CISA è un elenco di vulnerabilità che sono note per essere sfruttate in attacchi reali. Le voci segnalano che una falla è passata dal rischio teorico a una minaccia attiva, ed è per questo che l'agenzia usa l'elenco per spingere le organizzazioni a patchare rapidamente. L'aggiunta di CVE-2024-27834 segue le segnalazioni di attacchi che distribuiscono malware finalizzato al furto di informazioni.

Il bug è un bypass dell'autenticazione del puntatore. L'autenticazione del puntatore è una protezione che rende più difficile per gli attaccanti manomettere il modo in cui il codice viene eseguito in memoria, quindi un bypass indebolisce uno strato di difesa. Secondo il National Vulnerability Database, Apple ha risolto il problema con controlli migliorati. Le note di sicurezza di Safari 17.5 di Apple elencano il bug come un problema di WebKit e attribuiscono il merito a Manfred Paul, che lavora con la Zero Day Initiative di Trend Micro. La voce NVD risale al 14 maggio 2024 e elenca correzioni in Safari 17.5, iOS 16.7.8 e iPadOS 16.7.8, e iOS 17.5 e iPadOS 17.5, tra le altre release.

In breve, non si tratta di una falla nuovissima. È una falla più vecchia e già corretta che gli attaccanti trovano ancora utile.

Cosa rubano gli info-stealer e perché le falle corrette vengono ancora sfruttate

Gli info-stealer sono malware progettati per raccogliere silenziosamente dati da un dispositivo infetto e inviarli all'attaccante. A seconda della variante, gli obiettivi comunemente includono password salvate, dati del browser e informazioni di sessione. L'articolo di origine non dettaglia esattamente cosa raccolga questa campagna, quindi trattalo come una descrizione generale della categoria di malware e non come un dato su questo specifico attacco.

Perché gli attaccanti dovrebbero preoccuparsi di una falla corretta molto tempo fa? Perché l'applicazione delle patch è disomogenea. Vecchi telefoni, tablet e Mac restano non aggiornati per mesi o anni, sia perché le persone rimandano gli avvisi, sia perché i dispositivi sono condivisi, sia perché l'hardware non esegue più il software più recente. Gli attaccanti sanno che la disponibilità di una correzione non equivale all'installazione della correzione. Un exploit noto e affidabile contro dispositivi non aggiornati costa meno che svilupparne uno nuovo.

Questo schema è familiare in tutto il settore. Il software affidabile e le abitudini di aggiornamento affidabili sono il vero campo di battaglia, come abbiamo visto quando uno zero-day ha trasformato uno strumento di sicurezza di una banca coreana in un'arma. Il software su cui le persone fanno affidamento per la sicurezza può diventare la via d'accesso quando non viene tenuto sotto controllo.

Come proteggere ora il tuo iPhone e iPad: l'aggiornamento Apple CVE-2024-27834 info-stealer

La correzione è semplice e richiede pochi minuti.

  1. Apri Impostazioni, poi Generali, poi Aggiornamento software. Installa tutto ciò che viene offerto. Passare alla release più recente disponibile per il tuo dispositivo è meglio che fermarsi alla versione minima che ha corretto questo bug, poiché gli aggiornamenti successivi contengono altre correzioni di sicurezza.
  2. Attiva gli aggiornamenti automatici. Nello stesso menu, abilita l'installazione automatica così le patch future arrivano senza che tu debba ricordartene.
  3. Aggiorna anche Safari e il tuo Mac. La voce NVD elenca Safari e macOS tra i prodotti interessati, quindi controlla Impostazioni di Sistema su qualsiasi Mac tu utilizzi.
  4. Controlla i dispositivi più vecchi. Se un iPhone o un iPad non può più ricevere l'ultima versione principale, verifica se dispone di un aggiornamento di sicurezza per la propria versione. Apple ha rilasciato iOS 16.7.8 e iPadOS 16.7.8 per hardware più vecchio. Se un dispositivo non riceve più aggiornamenti, considera di ritirarlo da attività sensibili come il banking.

Dove una VPN aiuta e dove no

Una VPN crittografa il tuo traffico tra il dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo è utile su Wi-Fi pubblici e per la privacy generale. Non è una patch.

Questa falla risiede nel modo in cui il software di Apple gestisce il codice sul tuo dispositivo. Una VPN non ripara questo, e non impedisce a malware già in esecuzione di leggere i dati memorizzati localmente. Se un info-stealer atterra su un dispositivo non aggiornato, il tunnel attraverso cui viaggia il tuo traffico non gli impedirà di raccogliere ciò che si trova sul dispositivo. Alcune app VPN includono blocchi opzionali di link o malware, ma queste funzionalità variano e non dovrebbero sostituire l'aggiornamento.

Considera una VPN come uno strato di privacy, e un aggiornamento software come lo strato che chiude effettivamente questa specifica porta.

Cosa significa per te

Se i tuoi dispositivi Apple sono completamente aggiornati, sei protetto contro questa particolare falla, e l'inserimento di CISA è soprattutto un promemoria. Se hai ignorato gli avvisi di aggiornamento, questa è una buona ragione per smettere. La lezione più importante riguarda le credenziali rubate. Gli info-stealer sono pericolosi perché i dati che raccolgono possono essere riutilizzati su altri account, quindi una solida igiene degli account limita i danni anche se qualcosa sfugge.

Punti chiave

  • Aggiorna oggi. Installa gli ultimi aggiornamenti iOS, iPadOS, macOS e Safari e abilita gli aggiornamenti automatici. Questo è il passo centrale dell'aggiornamento Apple CVE-2024-27834 info-stealer.
  • Usa password uniche per ogni account, idealmente tramite un gestore di password, così un login rubato non sblocca gli altri.
  • Attiva l'autenticazione a due fattori ovunque sia offerta, soprattutto per email, banking e il tuo account Apple.
  • Non affidarti a una VPN per correggere una falla software. Tienila per ciò che fa bene, come proteggere il traffico su reti non affidabili.
  • Rimani scettico verso gli strumenti affidabili. La nostra analisi dello zero-day AnySign4PC è un altro esempio di software familiare che diventa un vettore di attacco.

Controlla ora i tuoi dispositivi Apple, installa gli aggiornamenti in sospeso e dedica dieci minuti a rivedere la sicurezza dei tuoi account. È la risposta più efficace all'avvertimento di CISA.