圈小蛙

苹果手机的iOS应用中的假弹窗钓鱼攻击,受害者损失惨重

今日比较火的安全信息是,有v2ex网友分享了一个被苹果iOS App弹窗钓鱼攻击的案例。虽然iOS弹窗钓鱼攻击问题由来以久,但这次分享中遇到的是开启了双重验证的账号也未能幸免。

钓鱼App名为“菜谱大全”,下载地址是:https://Apps.Apple.com/cn/App/id1658240702,目前已经被苹果下架。

钓鱼盗号的流程

1、盗号者上架一个容易被下载的App,本案中是”菜谱大全“,诱骗不熟练使用苹果手机的中老年人使用;
2、App中放置一个假的AppleID登录功能,触发iOS提示用户访问登录苹果AppleID官网Appleid.Apple.com的页面,受害者如果没有仔细观察或无防范意识就会通过FaceID等帮助盗号者SSO登录成功;
3、App跳出一个HTML5伪造的UIAlert窗口,假冒系统弹窗,要求输入AppleID密码,受害者以为是系统跳出的密码框(这个密码弹窗是伪造Apple UI的,迷惑性特别强,除了显示的「 AppLeID 」和「登陆」有瑕疵外),于是继续输入密码,尽管它的警报文本对于有经验的用户来说看起来很假,但它仍然可以欺骗很多对信息安全问题不太敏感的用户;
4、盗号者通过前面获得的信息,把未经授权的手机号码(如Google Voice)加入双重认证的电话号码列表中,整个操作过程中没有弹出2FA通知;
5、盗号者并不会直接用AppleID下单支付,而是会创建一个家庭共享,将另一个人添加为家庭共享成员,在这个账号内购买虚拟商品。

相关的盗号域名及链接

https://app.yime888.com/api/ck.php
https://app.yime888.com/admin/login.php
https://app.yime888.com/api/index.php
https://app.yime888.com/api/updata_urls.php?url=pianzi&url2=pianzi&url3=pianzi&num=1&txt1=1&txt2=1
bahpxmz.cn
qnclywm.cn

以上盗号域名大多已经关闭,无法访问,但是根据有黑客大佬成功攻克后进入的盗号者网站后台,之前受害者已经有将近3.5万。至于v2ex文章作者提出到的苹果糟糕的审核、傲慢的服务、啥都不懂的客服,我们已经司空见惯,最主要还是增强自我保护意识。

Exit mobile version