安基网 首页 资讯 安全报 查看内容

黑客利用7个零日漏洞来感染网站并渗透iOS设备

2021-3-20 11:51| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: Apple Insider 报道称:通过高度复杂的攻击组合,一群黑客总共利用了 11 个零日漏洞和诸多受感染的网站,来渗透运行 iOS、Windows 和 Android 操作系统的设备。谷歌 Project Zero 安全团队在一篇博客文章中指出,这 ...

Apple Insider 报道称:通过高度复杂的攻击组合,一群黑客总共利用了 11 个零日漏洞和诸多受感染的网站,来渗透运行 iOS、Windows 和 Android 操作系统的设备。谷歌 Project Zero 安全团队在一篇博客文章中指出,这轮黑客攻击可追溯到 2020 年 2 月、且至少持续了 8 个月,期间动用了广泛的技术手段、漏洞类型、以及攻击媒介。

(来自:Google Project Zero)

ArsTechnica 报道称,前四个零日漏洞主要针对运行 Chrome 浏览器的 Android 和 Windows 计算机。

而后黑客团队在接下来八个月中扩大了范围,利用七个漏洞和被感染的网站、根据来访设备和 Web 浏览器的不同,对运行 Safari 浏览器的 iOS 设备展开了量身定制的攻击。

此外即便被发现和封堵了零日漏洞,黑客团队还可迅速部署新的攻击形式。报告指出,这种灵活性不仅说明了攻击者对漏洞了如指掌,也从侧面反映了他们具有较高的技能水平。

谷歌 Project Zero 安全研究人员 Maddie Stone 写道:

总体而言,攻击者对漏洞本身的开发和利用,都表现出了专业的理解。以 Freetype 零日漏洞为例,其利用手段也是相当新颖。想要弄清楚它如何是触发 iOS 内核特权漏洞这件事本身,就是相当不容易的,更别提混淆手法的花样百出和耗费的精力。

去年 10 月,Project Zero 安全研究人员还检测到了以下漏洞:

Chrome Freetype 堆缓冲区溢出、cng.sys 中的 Windows 堆缓冲区溢出、TurboFan 映射弃用中的类型混淆、Chrome for Android 堆缓冲区溢出、Safari 任意堆栈的读写(通过 Type 1 字体)、iOS XNU 内核内存泄露(在 mach 报文中)、以及 iOS 内核类型的转门混淆。

如 ArsTechnica 所述,攻击者需要利用一系列漏洞来突破现代操作系统中内置的多层防御措施。

庆幸的是,苹果有在定期发布 iOS 漏洞修补程度。最近一次补丁,还是 3 月 8 日发布的 iOS 14.4.1 。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://baijiahao.baidu.com/s?id=1694660133486011660

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

 最新
返回顶部