外媒報導,最近蘋果開發人員的iMessage應用遭到不明攻擊,攻擊者通過篡改發送資訊的指令檔,通過X Message應用,暫態向iMessage發送大量垃圾資訊。這些資訊會迅速填滿設備的收件箱,迫使用戶不斷清除,iMessage也會因此出現「拒絕 服務」的情況。

本次攻擊和一個出售蘋果設備唯一標示符的Twitter帳號密切相關,該帳號還涉嫌竊取使用者個人資訊和安裝無安全保證的蘋果盜版軟體等。從iMessage顯示的垃圾資訊的內容來看,這更像是一個惡作劇,因為這些資訊暫時還不會影響使用者使用其它應用。

目前的資訊顯示,攻擊源可能是一個銷售蘋果設備唯一標示符UDID的Twitter帳號,該帳號利用盜版iOS應用對一些帳號發起攻擊,竊取使用者 個人資訊和安裝無安全保證的蘋果盜版軟體等。不過有趣的是,此次攻擊的目標幾乎都是iOS開發者,其中就包括了越獄高手iH8sn0w和 GrantPaul。

iH8sn0w表示在週三晚上,他的私人iMessage中就已經被這些無聊的資訊塞滿,隨後他迅速停用了iMessage電子郵件,並開始對電郵 發送源進行跟蹤,不過目前還沒有得到比較確切的消息。而另一位遭到攻擊的GrantPaul則介紹說:「這其實是一次簡單的洪水式攻擊,因為蘋果並沒有對 使用者發送資訊的頻率進行限制,所以攻擊者能夠在短時間內發送上千條資訊出來。」

不過他們認為這次垃圾資訊攻擊的危害遠非僅僅是佔據信箱這麼簡單。一旦攻擊者採用Unicode編碼的複雜資訊進行大量發送,就會迫使 iMessage的瀏覽頁面將其轉換成格式為Zalgo的文本,蘋果在設計iMessage時沒有考慮到如此強度的轉換壓力,因此該攻擊將最終導致應用潰 敗,且無法重新打開。

由於蘋果將手機號碼和個人郵箱都做了唯一化的處理,一旦這些資訊被攻擊者獲取,那麼用戶只能束手就擒,即使用戶更換手機號也無濟於事。

雖然本次攻擊並未影響到廣大用戶,但是也給蘋果提出了警告,只有通過修改iMessage應用程式,引入垃圾資訊隔離和檢測機制才能從根本上解決此類攻擊。而在目前的情況下如果受到這種攻擊,大家可以暫時關閉iMessage服務,等待蘋果修復這一漏洞。

NO COMMENTS