2
近日，白帽匯在官方網(wǎng)站發(fā)布了關(guān)于利用iOS日歷邀請(qǐng)功能群發(fā)垃圾信息事件的相關(guān)報(bào)告。這種方式可以通過手機(jī)操作系統(tǒng)中的日歷邀請(qǐng)功能來繞過垃圾郵件過濾機(jī)制。目前，該方法暫時(shí)僅出現(xiàn)在iOS平臺(tái)中，并有可能進(jìn)一步由垃圾信息群發(fā)渠道演變至釣魚攻擊新手段。
正常使用中的手機(jī)突然彈出來一條邀請(qǐng)信息，上面大概的內(nèi)容是xx娛樂城的營銷信息。大多數(shù)人在遇到這種情況時(shí)的第一反應(yīng)估計(jì)是：我的手機(jī)是不是被別人控制了？實(shí)則不然，即使用戶的手機(jī)和相關(guān)帳號(hào)都是正常且安全的，也有可能出現(xiàn)此類現(xiàn)象。
就在前不久，身邊同事的iPhone手機(jī)在正常使用過程中便突然彈出來這樣一條信息，上面大概的內(nèi)容是xx娛樂城、網(wǎng)址xxx.com等等 。接下來，白帽匯的安全團(tuán)隊(duì)便對(duì)其進(jìn)行了一番研究。據(jù)了解，彈出這條信息的其實(shí)是這部iPhone手機(jī)系統(tǒng)自帶的日歷功能，正常情況下一般用于向朋友、同事或家人發(fā)出活動(dòng)或會(huì)議邀請(qǐng)，使用起來方便快捷。讓人佩服的是，目前這個(gè)功能也被懷有不良居心的人打起了歪主意。
白帽匯安全研究團(tuán)隊(duì)發(fā)現(xiàn)，如果用戶將iPhone系統(tǒng)日歷與iCloud日歷進(jìn)行同步，便有可能會(huì)在iPhone中收到提示并且顯示由不法分子預(yù)設(shè)的垃圾信息。而這種方式由于并不經(jīng)過郵件系統(tǒng)，導(dǎo)致我們的垃圾郵件防御機(jī)制無法起到作用。
從目前用戶提交的相關(guān)案例中可以看到，發(fā)送者首先會(huì)去獲取一批郵箱地址，之后將其視為被邀請(qǐng)者的iCloud帳號(hào)去隨機(jī)發(fā)送邀請(qǐng)。邀請(qǐng)信息中包括相關(guān)文字和鏈接。此類內(nèi)容被邀請(qǐng)者收到后可直接打開，并不會(huì)出發(fā)任何攔截提示。
根據(jù)該方式進(jìn)行了一個(gè)小范圍的測試，發(fā)現(xiàn)其主要影響如下：
1、平均約有5%左右的信息接收者會(huì)去點(diǎn)擊邀請(qǐng)中包含的鏈接。該方式可被用來做釣魚攻擊，且效果也是很可觀的；
2、 在接收到的消息中，選擇拒絕和接收之后，在發(fā)送人那里會(huì)顯示出你的真實(shí)姓名。利用該方式，發(fā)送人可進(jìn)行進(jìn)一步的詐騙等操作；
3、多次重復(fù)發(fā)送也還會(huì)導(dǎo)致不斷收到系統(tǒng)提醒等惡意攻擊。而且沒有任何限制；
4、消息接收過多，可占滿日歷。影響正常的日歷使用；
5、經(jīng)測試，谷歌的Gmail和微軟的Outlook郵箱日歷功能也能夠向iOS日歷發(fā)送相關(guān)邀請(qǐng)；
6、在使用了同一個(gè)帳戶登錄的已聯(lián)網(wǎng)蘋果設(shè)備中，都會(huì)出現(xiàn)一樣的消息，例如iPad，MacBook等設(shè)備；
當(dāng)前，網(wǎng)絡(luò)上可搜索到此事件最早的記錄為今年6月初，至7月底8月初時(shí)逐漸增長至集中爆發(fā)態(tài)勢(shì)。
若在百度中搜索“蘋果 日歷 廣告”關(guān)鍵詞，其搜索結(jié)果前面數(shù)條均是由不同網(wǎng)友反應(yīng)遇到此類事件：
在微博中搜索到的案例如下：日期顯示為7月的14日,該方法目前也沒有得到任何的修復(fù)錯(cuò)誤：
我們建議用戶在收到此類垃圾信息時(shí)，切勿點(diǎn)擊任何鏈接，同時(shí)也不要理會(huì)。此類邀請(qǐng)信息底部一般有系統(tǒng)提供的三個(gè)選項(xiàng)，即“接受”、“可能”和“拒絕”。不論用戶點(diǎn)擊了哪個(gè)選項(xiàng)，發(fā)送者端都會(huì)顯示回復(fù)者的真實(shí)姓名，直接造成用戶敏感信息的泄漏。在擁有用戶郵件地址和真實(shí)姓名后，不排除發(fā)送者會(huì)有進(jìn)一步的釣魚攻擊等詐騙行為。
如果希望避免收到此類邀請(qǐng)，則可在iOS的設(shè)置中進(jìn)入“郵件、通訊錄、日歷”選項(xiàng)，找到并關(guān)閉其中的 “郵件中找到的事件”選項(xiàng)；
解決方案：我們已經(jīng)通過相關(guān)渠道嘗試與蘋果嘗試進(jìn)行溝通，并給出了相關(guān)防護(hù)建議，即對(duì)日歷的邀請(qǐng)內(nèi)容加入垃圾信息過濾處理，防止被惡意利用。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
