CISA dodała CVE-2024-27834 firmy Apple do swojego katalogu Znanych Eksploatowanych Podatności (KEV) po doniesieniach o aktywnym wykorzystywaniu. Luka to obejście uwierzytelniania wskaźników, a ataki rzekomo wykorzystują ją do dostarczania złośliwego oprogramowania wykradającego informacje. Ważnym szczegółem jest to, że Apple już naprawiło ten błąd w 2024 roku. Jeśli Twoje urządzenia są aktualne, praktyczne ryzyko jest niskie. Jeśli nie są, zainstalowanie aktualizacji Apple dla CVE-2024-27834 dotyczącej złośliwego oprogramowania wykradającego informacje to jedyna najskuteczniejsza rzecz, jaką możesz dziś zrobić.

Co CISA mówi o CVE-2024-27834

Katalog KEV CISA to lista podatności, o których wiadomo, że są wykorzystywane w rzeczywistych atakach. Wpisy sygnalizują, że luka przeszła od teoretycznego ryzyka do aktywnego zagrożenia, dlatego agencja używa tej listy, aby nakłaniać organizacje do szybkiego łatanienia. Dodanie CVE-2024-27834 następuje po doniesieniach o atakach dostarczających złośliwe oprogramowanie wykradające informacje.

Błąd to obejście uwierzytelniania wskaźników. Uwierzytelnianie wskaźników to zabezpieczenie utrudniające atakującym manipulowanie sposobem działania kodu w pamięci, więc obejście osłabia jedną warstwę obrony. Według National Vulnerability Database Apple rozwiązało problem dzięki ulepszonym kontrolom. Uwagi bezpieczeństwa Safari 17.5 firmy Apple wymieniają ten błąd jako problem WebKit i przypisują go Manfredowi Paulowi, współpracującemu z Zero Day Initiative firmy Trend Micro. Wpis NVD datowany jest na 14 maja 2024 roku i wymienia poprawki w Safari 17.5, iOS 16.7.8 i iPadOS 16.7.8 oraz iOS 17.5 i iPadOS 17.5, między innymi w innych wydaniach.

Krótko mówiąc, to nie jest zupełnie nowa dziura. To starsza, załatana luka, którą atakujący nadal uznają za użyteczną.

Co zabierają złośliwe programy wykradające informacje i dlaczego załatane luki wciąż są wykorzystywane

Złośliwe oprogramowanie wykradające informacje to malware zbudowane do cichego zbierania danych z zainfekowanego urządzenia i wysyłania ich atakującemu. W zależności od wariantu celem często są zapisane hasła, dane przeglądarki i informacje o sesji. Artykuł źródłowy nie opisuje dokładnie, co zabiera ta kampania, więc traktuj to jako ogólny opis kategorii malware, a nie ustalenie dotyczące tego konkretnego ataku.

Dlaczego atakujący mieliby zawracać sobie głowę luką naprawioną dawno temu? Ponieważ łatanie jest nierównomierne. Starsze telefony, tablety i komputery Mac pozostają nieaktualizowane przez miesiące lub lata, czy to dlatego, że ludzie odkładają monity, urządzenia są współdzielone, czy sprzęt nie obsługuje już najnowszego oprogramowania. Atakujący wiedzą, że dostępność poprawki nie jest tym samym co zainstalowana poprawka. Znany, niezawodny exploit przeciwko niezałatanym urządzeniom jest tańszy niż opracowanie nowego.

Ten wzorzec jest znany w całej branży. Zaufane oprogramowanie i zaufane nawyki aktualizacyjne to prawdziwe pole bitwy, co widzieliśmy, gdy luka zero-day zamieniła koreańskie narzędzie bezpieczeństwa bankowego w broń. Oprogramowanie, na którym ludzie polegają dla bezpieczeństwa, może stać się drogą wejścia, gdy nie jest kontrolowane.

Jak teraz chronić iPhone'a i iPada: aktualizacja Apple dla CVE-2024-27834 dotycząca złośliwego oprogramowania wykradającego informacje

Poprawka jest prosta i zajmuje kilka minut.

  1. Otwórz Ustawienia, następnie Ogólne, a potem Aktualizacja oprogramowania. Zainstaluj to, co jest oferowane. Przejście na najnowsze dostępne wydanie dla Twojego urządzenia jest lepsze niż zatrzymanie się na minimalnej wersji, która naprawiła ten błąd, ponieważ późniejsze aktualizacje zawierają inne poprawki bezpieczeństwa.
  2. Włącz automatyczne aktualizacje. W tym samym menu włącz automatyczną instalację, aby przyszłe poprawki przychodziły bez konieczności pamiętania o nich.
  3. Zaktualizuj także Safari i swojego Maca. Wpis NVD wymienia Safari i macOS wśród dotkniętych produktów, więc sprawdź Ustawienia systemowe na każdym używanym Macu.
  4. Sprawdź starsze urządzenia. Jeśli iPhone lub iPad nie może już otrzymać najnowszej wersji głównej, sprawdź, czy ma aktualizację bezpieczeństwa dla własnej wersji. Apple wydało iOS 16.7.8 i iPadOS 16.7.8 dla starszego sprzętu. Jeśli urządzenie nie otrzymuje już żadnych aktualizacji, rozważ wycofanie go z wrażliwych zadań, takich jak bankowość.

Gdzie VPN pomaga, a gdzie nie

VPN szyfruje Twój ruch między urządzeniem a serwerem VPN i ukrywa Twój adres IP przed odwiedzanymi stronami. Jest to przydatne w publicznych sieciach Wi-Fi i dla ogólnej prywatności. To nie jest poprawka.

Ta luka tkwi w sposobie, w jaki oprogramowanie Apple obsługuje kod na Twoim urządzeniu. VPN tego nie naprawia i nie powstrzymuje już działającego malware przed odczytaniem danych przechowywanych lokalnie. Jeśli złośliwe oprogramowanie wykradające informacje trafi na niezałatane urządzenie, tunel, przez który podróżuje Twój ruch, nie zapobiegnie zbieraniu tego, co jest na urządzeniu. Niektóre aplikacje VPN zawierają opcjonalne blokowanie linków lub malware, ale te funkcje się różnią i nie powinny zastępować aktualizacji.

Myśl o VPN jako o jednej warstwie prywatności, a o aktualizacji oprogramowania jako o warstwie, która faktycznie zamyka te konkretne drzwi.

Co to oznacza dla Ciebie

Jeśli Twoje urządzenia Apple są w pełni zaktualizowane, jesteś chroniony przed tą konkretną luką, a wpis CISA jest głównie przypomnieniem. Jeśli ignorowałeś monity o aktualizację, to dobry powód, aby przestać. Ważniejsza lekcja dotyczy skradzionych danych uwierzytelniających. Złośliwe oprogramowanie wykradające informacje jest niebezpieczne, ponieważ zabrane dane mogą być ponownie użyte na innych kontach, więc silna higiena kont ogranicza szkody, nawet jeśli coś się przedostanie.

Najważniejsze wnioski

  • Zaktualizuj dziś. Zainstaluj najnowsze aktualizacje iOS, iPadOS, macOS i Safari i włącz automatyczne aktualizacje. To jest kluczowy krok aktualizacji Apple dla CVE-2024-27834 dotyczącej złośliwego oprogramowania wykradającego informacje.
  • Używaj unikalnych haseł do każdego konta, najlepiej poprzez menedżer haseł, aby jedno skradzione logowanie nie odblokowywało innych.
  • Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest oferowane, zwłaszcza dla poczty e-mail, bankowości i konta Apple.
  • Nie polegaj na VPN, aby naprawić lukę w oprogramowaniu. Zachowaj go do tego, co robi dobrze, na przykład do ochrony ruchu w niezaufanych sieciach.
  • Zachowaj sceptycyzm wobec zaufanych narzędzi. Nasze spojrzenie na lukę zero-day w AnySign4PC to kolejny przykład znanego oprogramowania stającego się wektorem ataku.

Sprawdź teraz swoje urządzenia Apple, zainstaluj oczekujące aktualizacje i poświęć dziesięć minut na przegląd bezpieczeństwa swoich kont. To najskuteczniejsza odpowiedź na ostrzeżenie CISA.