A CISA adicionou o CVE-2024-27834 da Apple ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) após relatos de exploração ativa. A falha é um bypass de autenticação de ponteiro, e os ataques supostamente o utilizam para distribuir malware ladrão de informações. O detalhe importante é que a Apple já corrigiu este bug em 2024. Se os seus dispositivos estão atualizados, o risco prático é baixo. Se não estão, instalar a atualização contra o info-stealer do CVE-2024-27834 da Apple é a coisa mais útil que você pode fazer hoje.

O que a CISA diz sobre o CVE-2024-27834

O catálogo KEV da CISA é uma lista de vulnerabilidades que se sabe serem exploradas em ataques reais. As entradas sinalizam que uma falha passou de risco teórico para ameaça ativa, e é por isso que a agência usa a lista para pressionar as organizações a corrigir rapidamente. A adição do CVE-2024-27834 segue relatos de ataques que distribuem malware ladrão de informações.

O bug é um bypass de autenticação de ponteiro. A autenticação de ponteiro é uma proteção que torna mais difícil para os atacantes adulterar como o código é executado na memória, portanto um bypass enfraquece uma camada de defesa. De acordo com o National Vulnerability Database, a Apple resolveu o problema com verificações aprimoradas. As notas de segurança do Safari 17.5 da Apple listam o bug como um problema do WebKit e creditam Manfred Paul, trabalhando com o Zero Day Initiative da Trend Micro. A entrada do NVD data de 14 de maio de 2024 e lista correções no Safari 17.5, iOS 16.7.8 e iPadOS 16.7.8, e iOS 17.5 e iPadOS 17.5, entre outras versões.

Em resumo, esta não é uma falha totalmente nova. É uma falha mais antiga, já corrigida, que os atacantes ainda consideram útil.

O que os info-stealers roubam e por que falhas corrigidas ainda são exploradas

Info-stealers são malwares criados para coletar silenciosamente dados de um dispositivo infectado e enviá-los ao atacante. Dependendo da variante, os alvos comumente incluem senhas salvas, dados do navegador e informações de sessão. O artigo original não detalha exatamente o que esta campanha rouba, então trate isso como uma descrição geral da categoria de malware e não como uma descoberta sobre este ataque específico.

Por que os atacantes se preocupariam com uma falha corrigida há muito tempo? Porque a aplicação de patches é desigual. Telefones, tablets e Macs mais antigos ficam sem atualização por meses ou anos, seja porque as pessoas adiam os avisos, os dispositivos são compartilhados ou o hardware não executa mais o software mais recente. Os atacantes sabem que uma correção estar disponível não é o mesmo que uma correção estar instalada. Um exploit conhecido e confiável contra dispositivos não corrigidos é mais barato do que desenvolver um novo.

Este padrão é familiar em toda a indústria. Software confiável e hábitos de atualização confiáveis são o verdadeiro campo de batalha, como vimos quando um zero-day transformou uma ferramenta de segurança de banco coreano em arma. Software em que as pessoas confiam para segurança pode se tornar a porta de entrada quando não é mantido sob controle.

Como proteger seu iPhone e iPad agora: a atualização contra o info-stealer do CVE-2024-27834 da Apple

A correção é simples e leva alguns minutos.

  1. Abra Ajustes, depois Geral, depois Atualização de Software. Instale o que for oferecido. Avançar para a versão mais recente disponível para o seu dispositivo é melhor do que parar na versão mínima que corrigiu este bug, já que atualizações posteriores trazem outras correções de segurança.
  2. Ative as atualizações automáticas. No mesmo menu, habilite a instalação automática para que futuros patches cheguem sem que você precise se lembrar.
  3. Atualize o Safari e o seu Mac também. A entrada do NVD lista o Safari e o macOS entre os produtos afetados, então verifique os Ajustes do Sistema em qualquer Mac que você use.
  4. Verifique dispositivos mais antigos. Se um iPhone ou iPad não pode mais receber a versão principal mais recente, veja se ele tem uma atualização de segurança para a sua própria versão. A Apple lançou o iOS 16.7.8 e o iPadOS 16.7.8 para hardware mais antigo. Se um dispositivo não recebe mais atualizações, considere aposentá-lo de tarefas sensíveis como banking.

Onde uma VPN ajuda e onde não ajuda

Uma VPN criptografa o seu tráfego entre o seu dispositivo e o servidor VPN e oculta o seu endereço IP dos sites que você visita. Isso é útil em Wi-Fi público e para privacidade geral. Não é um patch.

Esta falha está em como o software da Apple lida com o código no seu dispositivo. Uma VPN não corrige isso, e não impede que malware já em execução leia dados armazenados localmente. Se um info-stealer chegar a um dispositivo não corrigido, o túnel pelo qual o seu tráfego passa não o impedirá de coletar o que está no dispositivo. Alguns aplicativos de VPN incluem bloqueio opcional de links ou de malware, mas esses recursos variam e não devem substituir a atualização.

Pense em uma VPN como uma camada de privacidade, e em uma atualização de software como a camada que realmente fecha esta porta específica.

O que isso significa para você

Se os seus dispositivos Apple estão totalmente atualizados, você está protegido contra esta falha em particular, e a listagem da CISA é principalmente um lembrete. Se você tem ignorado os avisos de atualização, este é um bom motivo para parar. A lição mais importante é sobre credenciais roubadas. Info-stealers são perigosos porque os dados que roubam podem ser reutilizados em outras contas, então uma boa higiene de contas limita o dano mesmo se algo passar.

Principais conclusões

  • Atualize hoje. Instale as atualizações mais recentes do iOS, iPadOS, macOS e Safari e ative as atualizações automáticas. Este é o passo central da atualização contra o info-stealer do CVE-2024-27834 da Apple.
  • Use senhas únicas para cada conta, de preferência por meio de um gerenciador de senhas, para que um login roubado não desbloqueie outros.
  • Ative a autenticação de dois fatores onde quer que ela seja oferecida, especialmente para e-mail, banking e sua conta Apple.
  • Não confie em uma VPN para corrigir uma falha de software. Mantenha-a para o que ela faz bem, como proteger o tráfego em redes não confiáveis.
  • Mantenha o ceticismo em relação a ferramentas confiáveis. Nossa análise do zero-day do AnySign4PC é outro exemplo de software familiar se tornando um vetor de ataque.

Verifique os seus dispositivos Apple agora, instale as atualizações pendentes e passe dez minutos revisando a segurança das suas contas. É a resposta mais eficaz ao alerta da CISA.