Съдържание
Пълен курс по етично хакерство от нула до експерт
Хаквайте като Black Hat хакери. Тестване за проникване, Kali Linux, WiFi и уеб хакване, както и хакерският начин на мислене зад това.
Вашият iPhone 11 или по-нов модел е имал уязвимост, която е позволявала на един специално създаден файл да изпълни код. Атакуващите вече са я използвали срещу избрани лица. Тя се е намирала в кода, който изчертава съдържанието, показвано от приложенията ви, а Apple все още не е съобщила как файлът е попаднал в устройството.
Apple написа изречение тази седмица, което бе писала само веднъж преди това през тази година в своите актуализации за iPhone. Уязвимостта „може да е била използвана в изключително сложна атака срещу конкретни целеви лица“. Даден атакуващ е разполагал с работещ инструмент и го е насочил към избрани от него хора, докато уязвимостта е била все още открита. Първият път тази година беше през февруари за грешка в кода, който се задейства всеки път при стартиране на приложение – динамичния линкер, наречен dyld.
Този път уязвимостта беше в CoreGraphics – част от iOS и macOS, която никога не виждате по име. Когато дадено приложение на вашия iPhone или Mac показва изображение или PDF файл, то предава изчертаването на споделен код в системата, а за двуизмерно изчертаване този код е CoreGraphics. Собствените страници за разработчици на Apple посочват, че той също така създава, показва и чете PDF файлове. Той работи под приложенията, които отваряте, и не можете да го изключите.
Грешката е това, което Apple нарича запис извън границите (out-of-bounds write). Дадена програма заделя блок от паметта за определена задача, например съдържанието на файл, който трябва да изчертае. Поради грешката тя записва извън този блок, в памет, която принадлежи на нещо друго. Ако файлът е изграден така, че атакуващият да определя какво да се запише там, той може да промени това, което програмата прави след това. Ето как „обработката на злонамерено създаден файл“ се превръща в „изпълнение на произволен код“ в бележките на Apple: собственият код на автора на заплахата, работещ на вашия телефон.
Apple не съобщи какъв тип е бил файлът, как е стигнал до телефона, дали собственикът е трябвало да натисне нещо, кой stoi зад атаката или колко хора са били засегнати. Екипът по сигурността на Meta получава признанието в бележките на Apple, като неговите изследователи са съобщили и за други грешки в начина, по който Apple обработва файлове през тази година, сред които една в ImageIO – частта от iOS, която чете файлове с изображения, където „обработката на изображение може да доведе до изпълнение на произволен код“. Нито една от двете компании не е споделила подробности за тази уязвимост.
През 2021 г. изследователите на зловреден софтуер от Citizen Lab прегледаха iPhone на саудитски активист и откриха файлове, завършващи на .gif, които обаче са били нещо друго. Четири от тях са били PDF файлове, изпратени през iMessage. Лабораторията свърза атаката с Pegasus – шпионския софтуер на NSO Group, и я нарече FORCEDENTRY.
Екипът на Google за търсене на грешки, Project Zero, по-късно анализира атаката в детайли и показа какво се случва при получаването на такова съобщение. iMessage е предавал всеки файл, завършващ на .gif, на помощен процес „след получаване на съобщението, но доста преди то да бъде показано“. Телефонът вече е подготвял изображението за чата, преди неговият собственик да разбере, че има съобщение. Този помощен процес също не е разчитал на името на файла. Кодът за изображения е определял формата от съдържанието, което според думите на екипа означава, че „над 20 кодека за изображения изведнъж са станали част от повърхността за zero-click атаки на iMessage“. За да вземат някого на прицел, на атакуващите е бил нужен само телефонен номер или Apple ID.
Уязвимостта, която тези фалшиви GIF файлове са засегнали, е била в CoreGraphics – същата част от iOS като тази от настоящата седмица. Дадено число в неговия PDF код е можело да стане твърде голямо и да препълни стойността си (integer overflow). Оттам атакуващите са изградили малък работещ компютър в данните на изображението от над 70 000 прости логически команди, и той се е изпълнявал в декодера на изображения, докато телефонът е разопаковал снимката. Екипът го нарече „един от най-сложните от техническа гледна точка експлойти, които някога сме виждали“. Apple го отстрани на 13 септември 2021 г.
Две години по-късно това се случи отново. През септември 2023 г. същата лаборатория откри атака срещу iPhone на служител на организация на гражданското общество във Вашингтон. Този път входната точка са били прикачени файлове от типа, който Apple Wallet използва за бордни карти и билети, наречени PassKit, със злонамерени изображения в тях. Те са дошли от iMessage профил на атакуващ и отново собственикът не е трябвало да прави нищо. Атаката е доставила същия шпионски софтуер, а изследователите я нарекоха BLASTPASS. Те също така написаха, че вярват, че „Lockdown Mode блокира тази конкретна атака“ и че инженерите по сигурността на Apple са им го потвърдили.
През август 2025 г. отново бяха изображения, този път през WhatsApp – приложението за съобщения на компанията, открила грешката от тази седмица. Приложението е имало дефект в начина, по който е синхронизирало свързаните устройства. Лице без връзка с вас е можело да накара телефона ви да извлече файл от избран от него адрес и да го обработи. По думите на компанията уязвимостта „е могла да позволи на несвързан потребител да задейства обработка на съдържание от произволен URL адрес на устройството на жертвата“.
Компанията написа, че това може да е било използвано заедно с дефект в кода за четене на изображения на Apple, който Apple описа като „Обработката на злонамерен файл с изображение може да доведе до компрометиране на паметта“. Първата уязвимост е вкарала файла в телефона, а втората е превърнала файла в код. Двете заедно може да са били използвани, според компанията, в „сложна атака срещу конкретни целеви потребители“.
Нищо публично не свързва онази атака с тази. През 2021, 2023 и 2025 г. пътят към целевия iPhone е преминавал през файл, който телефонът е обработил, без неговият собственик да е избрал да го отвори, а уязвимостта от тази седмица се намира в кода, който изчертава файлове.
Атакуваща верига с такава сила все пак засяга само малко хора. Apple изпраща известия за заплахи до хора, за които смята, че са били обект на атака. На страницата си за тези предупреждения тя посочва част от причината: „Атаките с наемен шпионски софтуер струват милиони долари и често имат кратък срок на годност, което ги прави много по-дни за откриване и предотвратяване.“
Изграждането на подобна верига изисква много работа и след като някой прегледа телефон, срещу който е била използвана – както се случи през 2021 и 2023 г. – уязвимостта се открива и отстранява. Това поддържа новата верига насочена към малко хора, тези, които някой изключително много иска да наблюдава, и Apple ги назовава: „журналисти, активисти, политици и дипломати“. Хора в над 150 държави са получили нейното предупреждение от 2021 г. насам. Apple също така пише, че „абсолютното мнозинство от потребителите никога няма да бъдат обект на подобни атаки“.
Тези атаки все още продължават. На 2 септември същата лаборатория съобщи, че член на студентското протестно движение в Сърбия е бил заразен със същия шпионски софтуер чрез експлойт без кликване (zero-click) в iMessage между декември 2025 г. и януари 2026 г. Лабораторията е изследвала телефона, след като студентът е получил предупреждение от Apple. Фондация SHARE в Сърбия, която е работила с лабораторията по случая, е преброила поне 14 души от движението и гражданското общество, както и опозиционен депутат, които наскоро са получили същото предупреждение.
След като една верига бъде публикувана, тя не остава само при първия си собственик. Грешката в dyld, която Apple отстрани през февруари, е пример за това. Екипът за анализиране на заплахи на Google я откри в DarkSword – верига от експлойти за iOS 18.4 до 18.7, и поне три различни групи са я използвали. Една от тях е атакувала потребители в Саудитска Арабия чрез фалшив сайт на Snapchat, а турска компания, която продава инструменти за наблюдение, я е използвала в Турция и Малайзия. Предполагаема руска шпионска група я е разположила в хакнати украински уебсайтове. Екипът написа, че това разпространение „между различни автори на заплахи отразява предишно открития комплект от експлойти Coruna iOS“. Колкото по-дълго един iPhone остава без актуализации, толкова по-дълго остава уязвим за всеки, който придобие следващата верига.
На 29 септември CISA, американската агенция за киберсигурност, добави уязвимостта от тази седмица към своя списък с грешки, за които е известно, че се използват при атаки. Тя поставя грешка в този списък само когато има „надеждни доказателства, че уязвимостта е била активно експлоатирана в реална среда“. Федералните агенции получиха срок до 2 октомври да се справят с нея, което е три дни. Предупреждението на агенцията също така им указва да проверят дали атакуващ е проникнал в дадена система, преди да е била инсталирана корекцията за сигурност.
На 28 септември Apple пусна корекцията в iOS 26.7.1 и iPadOS 26.7.1, а за Mac – в macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Apple съобщава, че известните ѝ атаки са се извършвали върху версии на iOS преди iOS 27. Тя не е пуснала актуализация за iPhone, които все още използват iOS 18, или за Mac с macOS Sonoma, въпреки че и двете получиха актуализации за сигурност през август, и не посочва дали те са засегнати.
За моделите iPhone това оставя два пътя, тъй като iPhone 11 и по-новите могат да работят както с iOS 26, така и с iOS 27. Пет модела iPad имат само един. Тези модели присъстват в списъка на Apple за iPadOS 26.7.1 и липсват от списъка за iPadOS 27:
- → iPad Pro 12.9-inch (3-то поколение)
- → iPad Pro 11-inch (1-во поколение)
- → iPad Air (3-то поколение)
- → iPad (8-мо поколение)
- → iPad mini (5-то поколение)
За тези пет модела 26.7.1 е единственият начин да се затвори тази уязвимост.
- → iPhone или iPad с iOS 26: Настройки (Settings), Основни (General), Софтуерна актуализация (Software Update) и инсталирайте 26.7.1. За iOS 27 Apple не посочва корекция за тази уязвимост, а известните ѝ атаки са засягали по-стари версии.
- → Mac: инсталирайте macOS Tahoe 26.7.1 или macOS Sequoia 15.8.1 в зависимост от използваната от вас версия.
- → Ако работата ви ви прави вероятна мишена (като журналист, активист, политик или дипломат), включете Lockdown Mode: Настройки (Settings), Поверителност и сигурност (Privacy & Security), Lockdown Mode, Включване на Lockdown Mode (Turn On Lockdown Mode), след това Включване и повторно стартиране (Turn On & Restart) и въведете паролата за достъп. Това блокира повечето типове прикачени файлове в Съобщения (Messages), с изключение на определени изображения, видео и аудио, и прави връзките и прегледите на връзки недостъпни. Това е настройката, която спря атаката от 2023 г. Apple не е съобщила дали тя блокира тази атака.
- → Знайте как изглежда автентичното известие за заплаха от Apple: сигнал на заключения екран на вашия iPhone и в Настройки (Settings), имейл до адреса във вашия Apple профил (Apple Account) и банер при влизане в account.apple.com. Apple пише, че тези предупреждения никога не ви искат да натискате върху връзки, да отваряте файлове, да инсталирате приложения или профили, или да предоставяте паролата на профила си или код за потвърждение.
Ако искате сами да потърсите следи, съществува безплатен инструмент за това. По време на Pegasus Project през 2021 г. Лабораторията за сигурност на Amnesty International пусна Mobile Verification Toolkit (MVT). Той работи на вашия лаптоп. Правите криптиран резервен архив (backup) на вашия iPhone с Finder на Mac или iTunes на Windows, и MVT проверява този архив спрямо публични списъци с известни следи от шпионски софтуер, сред които Pegasus и Predator. За Windows документацията ви насочва към WSL – функцията на Windows, която стартира Linux в средите на Windows.
MVT сам иска паролата за архива, което я предпазва от запазване в историята на обвивката (shell history). Неговите създатели пишат, че MVT „не е предназначен за самостоятелна оценка от крайния потребител“ и само публичните индикатори не могат да докажат, че даден телефон е чист. Резултат без намерени уязвимости означава само, че никоя от известните следи не е открита, и нищо повече. Ако имате основателна причина за притеснение, проектът ви насочва към Лабораторията за сигурност на Amnesty и към Digital Security Helpline на Access Now.
MVT работи в Linux терминал, а под Windows – чрез WSL, така че всичко започва с това да се чувствате в свои води с този команден ред. Моят пълен курс по етичен хакинг „от нула до експерт“ (Zero to Expert) ви превежда през това стъпка по стъпка: разузнаване, сканиране, експлоатация и анализ на трафика, с практическа насоченост, още от първия ви ден, без да са необходими познания по Linux или хакинг.