iOS: altro bug di sicurezza sull'input touchscreen

Non è propriamente una delle settimane più fortunate per Apple: dopo aver scoperto la falla SSL in iOS 7 e in OS X Mavericks, emerge oggi sulla Rete un nuovo bug per il sistema operativo mobile. Ed è una questione particolarmente insidiosa, perché pare che malintenzionati possano spiare l’input touchscreen senza che l’utente se ne accorga.

A farne la scoperta i ricercatori dell’azienda di sicurezza FireEye, i quali hanno scoperto come iOS 7 possa abilitare, tramite delle app sviluppato ad hoc, il log delle interazioni touchscreen dell’utente. Questo significa che un utente remoto potrebbe captare qualsiasi movimento fatto con le dita sullo schermo, dall’apertura di un’applicazione all’immissione di una password, dalla risposta a un SMS alla conferma dei propri estremi della carta di credito. Per farlo, gli hacker potrebbero approfittare di una falla nel sistema di gestione del multitasking di iOS 7, sebbene al momento l’attacco sia solo teorico, considerato come non si sia registrato alcun caso di violazione.

Per dimostrare la pericolosità della falla, i ricercatori hanno realizzato una app che funga da “proof of concept”, con il codice malevolo ben nascosto affinché possa superare indenne la verifica del team di App Store. Quando l’app è installata, inizia a registrare qualsiasi attività touch, ma anche i tasti fisici come quello di Home, il volume e via dicendo. Inoltre, fatto ancora più preoccupante, non solo manda a un server remoto tutto quello che l’utente tocca o scrive, ma anche le coordinate GPS in cui si trova. L’app è talmente ben sviluppata che, disattivando il refresh automatico delle app previsto in iOS 7, continua comunque a salvare i propri log.

L’exploit è stato testato su un iPhone 5S con iOS 7.0.4 installato, ma la vulnerabilità esisterebbe in tutte le versioni del sistema operativo dalla 6.1 alla 7.0.6. Apple non ha ancora commentato ufficialmente quanto scoperto, anche se è molto probabile che fornirà presto un fix, così come fatto per la scarsa sicurezza della gestione dei protocolli SSL.

Sebbene, come già ricordato, non sembrano registrarsi casi e nemmeno siano note app ufficiali che sfruttano questa vulnerabilità, si consiglia agli utenti di vagliare attentamente le fonti dei propri download. In particolare sul jailbreak, dove il software non è passato al setaccio del controllo del team Apple.