Apple portál útok nie je škodlivý, ale vývojári stále cieľ

Zatiaľ čo „votrelec“, ktorý sa pripojil k vývojárskemu stredisku Apple, sa ukázal byť iba zvedavým penetračným testerom, útoky proti webovým stránkam vývojárov môžu mať vážne následky len za to, že ukradnú osobné údaje.

Spoločnosť Apple minulý štvrtok zavrela webovú stránku pre vývojárov počítačov Mac, iPhone a iPad a uviedla, že vykonáva neplánovanú údržbu. Neposkytlo žiadne ďalšie informácie a vývojári sa čoraz viac obávali dlhodobého výpadku. Keď bude portál dole, títo vývojári nebudú môcť pracovať na novom kóde, kontrolovať stav svojich existujúcich aplikácií ani spravovať svoje účty.

„Minulý štvrtok sa votrelec pokúsil zabezpečiť osobné informácie našich registrovaných vývojárov z našej webstránky pre vývojárov, “ napokon Apple informoval vývojárov e-mailom v nedeľu večer. Aj keď boli citlivé informácie šifrované a nebol k nim prístup, spoločnosť uviedla, že „boli prístupné niektoré mená vývojárov, poštové adresy a / alebo e-mailové adresy“.

Nie je to škodlivý útok?

Ibrahim Balic, tester penetrácie v Londýne, si vybral výnimku z toho, že sa nazýva útočník. Spoločnosti pravidelne zamestnávajú spoločnosť Balic, aby sa pokúsili nájsť zraniteľné miesta v ich systémoch, a nedávno sa rozhodol pozrieť sa na stránky spoločnosti Apple. Našiel celkom 13 chýb, z ktorých všetky boli hlásené pomocou online hlásača chýb. Štyri hodiny po poslednej správe o chybe bol portál stiahnutý.

„Apple! Toto rozhodne nie je hackerský útok !! Nie som hacker, robím výskum bezpečnosti, “ napísal Ibrahim Balic na Twitteri.

Balic uviedol, že Apple na jeho hlásenia o chybách neodpovedal. „Neuskutočnil som tento výskum, aby som poškodil alebo poškodil, “ uviedol v komentári uverejnenom na TechCrunch. Vytvoril video YouTube, aby ukázal, ako pristupoval k informáciám pre vývojárov, ale stiahol ho, keď si uvedomil, že nezakryl mená a podrobnosti jednotlivých vývojárov.

Prečo aj tak zacieľovať na vývojárov?

Balic možno počas svojho vpádu na servery spoločnosti Apple neplánoval nič škodlivé, ale vývojári sa stále viac zameriavajú. Spoločnosť Canonical oznámila, že jej fóra Ubuntu boli počas víkendu porušené. Tieto útoky sa nelíšia od útokov na iných stránkach. Tak ako v predchádzajúcich incidentoch, aj títo používatelia sú teraz vystavení riziku útokov v oblasti sociálneho inžinierstva, ako je napríklad falošné obnovenie hesla. Útočníci sa môžu tiež pokúsiť prihlásiť na iné stránky pomocou odcudzených údajov.

Portály pre vývojárov sú „uzlami“ s používateľmi z rôznych organizácií, uviedol Mike Lloyd, CTO spoločnosti RedSeal Networks. Útočník sa nemusí zaujímať o skutočné údaje uložené na samotnej vývojárskej stránke, ale o prihlasovacie údaje, ktoré môžu fungovať na iných stránkach, uviedol Lloyd. „Ak dokážete kompromitovať údaje o účte na stránke centra, je pravdepodobné, že máte platné prihlásenie pre veľký počet ďalších spoločností, “ uviedol Lloyd.

Začiatkom tohto roka bolo ohrozené fórum pre vývojárov iOS a infikovalo zamestnancov na Twitteri, Facebooku a ďalších miestach škodlivým softvérom. Útočníci, ktorí sa zameriavajú na webovú stránku vývojárov spoločnosti Apple, by mohli mať záujem o spustenie útokov na zavlažovacie diery s cieľom zamerať sa na vývojárov v iných spoločnostiach, uviedol Lee Weiner, senior viceprezident pre produkty a strojárstvo v Rapid7.

Útočníci s ukradnutými vývojárskymi účtami spoločnosti Apple budú môcť nahrávať potenciálne škodlivé aplikácie pod kompromitovaným menom vývojára, uviedol Michael Sutton, viceprezident bezpečnostného výskumu v spoločnosti Zscaler.

Keďže účty majú vývojársky podpisový certifikát pre schválené aplikácie, existuje nebezpečenstvo, že útočníci môžu podpísať škodlivé aplikácie pomocou legitímnych certifikátov, uviedol Tommy Chin, inžinier technickej podpory v spoločnosti CORE Security. "Falošné autentifikované aplikácie v Appstore sa objavia, ak Apple neudrží portál dole, kým nebude opravený, " uviedol Chin.

„Útok prichádza v zlom čase pre spoločnosť Apple, pretože ich prinútil prepnúť vývojový portál do režimu offline, pretože vývojári pripravujú aplikácie pre iOS 7, naplánované na vydanie na jeseň, “ povedal Sutton.