Zero-Day no Gerenciador de Senhas da Apple

Pesquisador descobre vulnerabilidade zero-day no gerenciador de senhas da Apple onde uma tacante poderia roubar todas as credenciais armazenadas.

Gerenciador de Senhas é a melhor opção para guardar e manusear as grandes quantidades de senhas que usamos nos dias de hoje, só aqui tenho mais de 150 usuários e senhas diferentes para acessar os diversos serviços de internet.

Porém Patrick Wardle, da Synack, descobriu uma vulnerabilidade zero-day  no gerenciador de senhas nativo da Apple. A vulnerabilidade está presente na última versão do MacOS, High Sierra (10.13) que foi lançado nas últimas semanas de setembro.

O ataque que ele demonstrou foca no Keychain, um container encriptado que armazena as credenciais de WiFi, backups, imagens de disco, cartões de crédito e contas bancárias e mostra como bypassar completamente o pedido de senha do aplicativo e abre todas as senhas que estão armazenadas.

Patrick Wardle publicou este vídeo demonstrando o ataque em seu Twitter na semana passada.

A demonstração foi feita com o software keychainStealer que não é assinado pela Apple, o que significa que se o usuário tentar baixar o aplicativo a Apple vai bloquear. No entanto Wardle afirma que o ataque funciona também com aplicativos assinados.

Existem certas “condições” para que o ataque seja bem sucedido. A primeira e mais óbvia é que o atacante deve conseguir que o usuário baixe o aplicativo keychainStealer (o que não se configura grande dificuldade uma vez que a maioria dos usuários ignoram os alertas de instalação), uma vez que o ataque é local e o equipamento deve ser comprometido.

O Keychain deve também estar desbloqueado no equipamento alvo para que que o ataque seja bem sucedido. Por padrão o macOS desbloqueia o keychain quadno alguém loga na máquina, mas o keychain pode ser configurado para ficar bloqueado mesmo após o logon.

Apple promete liberar patch, mas ainda sem data definida.

fonte Bank Security Info
por MindSec  04/09/2017
About mindsecblog 294 Articles

Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.