Google发现恶意网站多年来用于黑客攻击iPhone

苹果公司喜欢谈论其对安全性和隐私性的关注，但iPhone所有者在不知不觉中成为了至少两年不分青红皂白和严重黑客攻击活动的目标。Google的Project Zero团队发现了该计划，该计划使用加载了未修补漏洞的网站在iPhone上安装恶意软件，可以跟踪用户位置，窃取文件等。Apple报告后修补了这些漏洞，但我们现在才发现攻击的规模。

根据Google的说法，其研究人员在2019年初发现了恶意网站。目前，该团队认为黑客网站已经运营了两年多，每周吸引数千名访客。毫无疑问访问这些网页的iPhone用户会在他们的设备上以root身份运行恶意软件 - 这是即使设备所有者在iOS上没有的最高级别的软件权限。

Project Zero研究人员在野外发现了五种不同的开发链，利用了12种不同的安全漏洞。其中七个涉及Safari浏览器引擎，即使是第三方浏览器也必须使用它。这不仅仅是针对某些古老的iOS版本。这些攻击通过最新的iOS 12覆盖了几乎所有iOS 10版本。在iPhone上植入恶意软件后，攻击者可以跟踪用户位置，复制照片，甚至访问用户的设备密码存储。

同样，这一切都在浏览器中静默发生。对于Android和iOS应用程序中弹出的恶意代码的所有烦恼，这更加严重，因为攻击者不必欺骗用户安装任何东西。很长一段时间以来，像这样的零日浏览器黑客已经出现在野外。多年前，你可以访问的网站会利用漏洞立即越狱iPhone。现代安全实践结束了简单的浏览器黑客攻击，或者我们认为。

谷歌在2月份私下向苹果公司报告了这一漏洞，但苹果公司只用了一周的时间推出补丁。这比通常的90天披露时间表要短得多。这使得袭击的严重性成为了原因。不仅对用户的影响很严重，而且攻击者每周还积极感染数千部手机。Apple六天后推出了更新（iOS 12.1.4）以修复漏洞。

如果所有这些都有任何亮点，那就是攻击者似乎没有任何特定目标。他们的受害者是任何不幸的人点击恶意网络链接。虽然修补了这个洞，但这项活动仍持续了两年。现在可能还有其他活跃的漏洞，安全社区中没有人知道。