ALERTA: Mac OSX pode enviar passwords via SMS para atacante

já agora há quanto tempo a Apple sabe disto?

Isso não é a means coisa que já reportaram, só que agora meteram essa extensão das sms para ser mais bonito?

Isso não acontece com apps da AppStore, e está resolvido para outras no El Capitan beta, pois pede autorização para a aplicação.

Usar “baptizado de” para disfarçar o uso de “chamar de” não esconde a iliteracia de quem assim escreve.

Ora bem, vamos lá ver o que percebi da coisa, com base nos lamirés do Ars Technica, num quarto de hora, à hora de almoço (os acrescentos são meus).

– Foi recentemente noticiada uma vulnerabilidade no Keychain do OS X (dos Mac, não confundir com o iOS do iPhone e iPad) que permitia – a apps “maliciosas” instaladas no Mac – sacar passwords do Keychain. Friso bem – apps “maliciosas” instaladas no Mac – o que deixa de fora os que não são dados a essas coisas [sinceramente acho que o pessoal do Windows é mais susceptível a instalar aplicações que não conhece bem, mas sei perfeitamente que muitos fogem disso].

– Os moços a que se referem o post (que querem fazer o seu caminho, legitimamente, na área do anti-malware), explorando a mesmíssima vulnerabilidade, mostraram que num ficheiro qualquer, por exemplo num vídeo. é possível incluir código que:

. em vez da janela de acesso ao Keychain onde se deveria inserir uma password de autorização

. faz aparecer um “botão” allow (permitir) – e o código simula um clic do utilizador nesse botão – sendo tudo tão rápido que o utilizador nem se apercebe que caiu a janela com o botão allow e que é como se se tivesse clicado nele.

Clac, clap, clap (aplausos) os meus sinceros parabéns aos hackers – mostraram uma vulnerabilidade que não devia existir no OS X – mas, como habitualmente, fizeram um passe de mágica:

– Parece que basta enviar código num ficheiro de vídeo para sacar passwords do Keychain, quando só mostraram como nem se dar por isso, aparecer o botão do”allow” e se faz como se fosse o utilizador a clicar nele
– Com o passe de mágica, ficou de fora a questão essencial – a vulnerabilidade só pode ser explorada por uma app “maliciosa” instalada no OS X. Em rigor, voltando a 2011 e ao princípio da história, não se sabe quais tenham sido.

P.S. Para o pessoal que pense que se trata de um vírus – “Ah, afinal o OS X também tem vírus” – temos pena, é malware (exigindo a intervenção do utilizador), mas vírus, auto-replicante, não é.