Lỗi mã QR trong hệ điều hành Apple IOS 11 có thể dẫn bạn vào những trang Web độc hại

Mới đây, một lỗ hổng mới đã được tiết lộ trong Ứng dụng máy ảnh iOS có thể bị khai thác để chuyển hướng người dùng đến một trang web độc hại mà họ không hề biết. Lỗ hổng nảy nằm trong bộ đọc mã độc IOS, ảnh hưởng đến hệ điều hành di dộng IOS 11 mới nhất của Apple dành cho thiết bị Iphone, iPad, iPod touch.

Với hệ điều hành iOS 11, Apple đã giới thiệu một tính năng mới cho người dùng có khả năng tự động đọc các mã QR bằng ứng dụng camera của iPhone mà không yêu cầu ứng dụng đọc mã QR của bên thứ ba.

Bạn cần mở ứng dụng Máy ảnh trên iPhone hoặc iPad và chỉ để thiết bị ở mã QR. Nếu mã chứa bất kỳ URL nào, nó sẽ thông báo cho bạn địa chỉ liên kết, yêu cầu bạn nhấn để truy cập vào nó trong trình duyệt Safari. Tuy nhiên, bạn có thể không truy cập URL được hiển thị cho bạn, nhà nghiên cứu bảo mật Roman Mueller đã phát hiện ra điều này.

Theo Mueller, trình phân tích cú pháp URL của trình đọc mã QR tích hợp cho ứng dụng camera của iOS không phát hiện ra tên máy chủ trong URL, cho phép kẻ tấn công vận dụng URL được hiển thị trong thông báo, lừa người dùng truy cập các trang web độc hại.

Đối với bản mô phỏng , nhà nghiên cứu đã tạo ra một mã QR với URL sau:

https: // xxx @ facebook.com: 443@infosec.rm-it.de/

Nếu bạn quét nó bằng ứng dụng máy ảnh iOS, nó sẽ hiển thị thông báo sau:

Mở “facebook.com” trong Safari

Khi bạn nhấn vào nó để mở trang web, nó sẽ mở ra:

https://infosec.rm-it.de/

Chuyên gia đã thử nghiệm cuộc tấn công như thể hiện trong ảnh chụp màn hình ở trên trên iPhone X chạy iOS 11.2.6 và đã khởi động.

Mã QR (Trả lời nhanh) là một hình thức nhanh chóng và thuận tiện để chia sẻ thông tin, nhưng vấn đề trở nên đặc biệt nguy hiểm hơn khi người dùng dựa vào mã QR để thực hiện thanh toán nhanh hoặc mở các trang web ngân hàng, hậu quả mà nó gây ra là rất nguy hiểm vì rất có thể nó sẽ chiếm toàn bộ tài khoản tín dụng của bạn

Nhà nghiên cứu đã báo cáo lỗ hổng này cho Apple trong tháng 12 năm ngoái, nhưng Apple vẫn chưa sửa lỗi cho đến ngày hôm này.

Nguồn: Thehackernew