El ataque proviene de un error en el navegador Safari de Apple
Una prueba de concepto de un ciberataque recientemente revelada puede hacer que los dispositivos iOS se reinicien o colapsen usando solamente 15 líneas de código, reveló un experto en hacking ético durante el fin de semana.
El sábado, el investigador Sabri Haddouche, especialista en hacking ético, publicó en Twitter el código fuente de la prueba de concepto del ataque que, según dijo, reinicia dispositivos iOS (como iPhone o iPad) con sólo unas pocas líneas de código de hojas de estilos en cascada (CSS) especialmente diseñadas.
El investigador comentó que realizó este descubrimiento luego de observar algunos ataques de denegación de servicio (DoS) en navegadores la semana pasada, mencionando que los usuarios que abren un enlace con un formato especial desde cualquier navegador basado en iOS, o usan Safari en macOS, están al tanto del ataque. Haddouche mencionó a diversos medios especializados que ya ha notificado a Apple y la empresa está atendiendo el problema.
El ataque proviene de un error en WebKit, un motor de navegador HTML en el navegador Safari de Apple. El motor del navegador web es utilizado por varias aplicaciones, incluida la propia aplicación de correo de Apple, la App Store oficial y otras aplicaciones que usan el código del navegador subyacente en macOS, iOS y algunas versiones de Linux.
Aunque WebKit sirve para procesar líneas de HTML y CSS, hay ciertos elementos que no puede procesar, incluido uno llamado <div> utilizado específicamente en el ataque mostrado por el especialista.
Haddouche anidó estos elementos incompatibles en el filtro de fondo propiedad CSS, que es una línea de código que permite a los usuarios aplicar efectos gráficos como el desenfoque o el cambio de color al área detrás de un elemento. Una vez que realizó esto en la prueba de concepto, el motor WebKit no pudo realizar su tarea de procesamiento, lo que provocó que agotara todos los recursos del dispositivo y activara el kernel panic.
El investigador mencionó que el código fuente del ataque puede integrarse a cualquier sitio web, correo electrónico, código QR e, inmediatamente, hacer que cualquier dispositivo colapse.
Acorde a especialistas en hacking ético del Instituto Internacional de Seguridad Cibernética, para que el código del ataque funcione debe ser enviado y abierto por la víctima, lo que significa que un atacante podría incorporarlo en un correo electrónico HTML y enviarlo a un objetivo seleccionado, cuyo dispositivo iOS se bloqueará cuando abra el enlace.
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
