[iOS漏洞]iOS8漏洞爆發!尚未修復的iCloud釣魚郵件漏洞「DeDirect」

1434607182-3698222795_n  
最近iOS上詐騙手法層出不窮,很多釣魚現在出現在網頁與信件上,都會假裝是設定、防毒、登入頁面,往後用戶有可能會收到這類的Email,當透過iPhone、iPad打開Email時會隨即跳出要登入iCloud訊息,一般用戶可能認為這是需要驗證AppID和密碼才能夠登入獲取內容,就會導致自己的帳密拱手給了對方,不過漏洞在現今iOS8.3上依然還是存在,駭客可趁此方式來竊取你的帳號密碼,iOS用戶要相當小心這種網頁與釣魚信件,但越獄用戶可透過此篇教學提早修正此問題。

郵件漏洞方法

駭客架設假的登入iCloud畫面釣魚網站,也有可能改成AppStore登入介面,並透過HTML語法來寄送大量轉導(Redirect)網址信件,當收件者透過iPhone、iPad郵件收到這釣魚信件時,開啟信件就會跳出需要用戶登入帳號密碼提示,往往使用者沒警覺心就會不小心將自己的AppleID與密碼輸入進入,最後才驚覺這是釣魚信件。

實做測試釣魚信

一定會有使用者相嘗試看看收到釣魚信件的畫面,瘋先生也替大家架設好一個DEMO的釣魚網頁,請不要真的去輸入你的帳號與密碼,本網址僅提供測試用。
Step 1. ▼ 首先請透過PutsMail測試網頁來測試發送這封釣魚信件
網址:https://putsmail.com




 
Step 2. ▼ Recipients 內填入要寄送的Email,Subject Line內填入信件標題,最後在Body內輸入「<meta http-equiv=refresh content=0;URL=http://mrmad.pe.hu>」這串HTML代碼,最後點下「Send Email」即可發送。
1434609049-1835435998_n  
Step 3. ▼ 會先收到putsmail寄來的確認信,請先點選「Yes, I'm happy to accept email drafts」認證,隨後才會真正寄來釣魚信。
1434609280-1165179623_n  
Step 4. ▼ 就會收到我們剛所測試的釣魚信件,收到後點選這封郵件,內容馬上就會顯示要收信者輸入iCloud的帳號密碼。1434608534-2789524859_n

注意釣魚信件與網頁

只要是非官方網址與AppStore上都是假的網頁介面,且Safari瀏覽器並不會有跳出病毒防護這類的警告畫面,這都是想竊取你帳號密碼的駭客所設計的介面,如底下這假iOS安全畫面,也都是同樣的釣魚畫面,檢查也只是網頁效果,相關掃描的病毒都是假訊息,為了是想騙你點選繼續後,來輸入AppleID和密碼。
1434612025-1501875716_n  

修補漏洞

此問題在iOS8.3上尚未修復,無越獄使用者就要自己相當小心這類信件,需等後續蘋果推出新版本才能修正,而越獄用戶就不需要擔心,趕緊先來修補此漏洞。

透過軟體源安裝修補(iOS8.4已經修補)

Step 1. ▼ Cydia 搜尋「dedi」,會找到「DeDirect」,再將它安裝起來,如果找不到插件請參考這篇
1434609925-3613412114_n
Step 2. ▼ 點選「確認」安裝,安裝完畢再點下「重新啟動SpringBoard」。
1434609925-3735411223_n
Step 3. ▼ 之後收到這類釣魚信件,內容就會變成一片空白,同等於是阻止無法執行這HTML指令。
1434609925-1593155324_n  

到底是越獄安全還是不越獄安全?越獄總是會在第一時間內推出修補漏洞,減少被攻擊或是被陷害漏洞,但非越獄用戶,需要等蘋果推出新版韌體才能將這漏洞填補,到至今阿拉伯文字簡訊漏洞都還要等iOS8.4才會修正,這麼一來時間就至少要等待好幾個月,眼尖的你應該可以瞭解那邊推出修正漏洞是最快的。

★ 聲明:本文版權所有,非經瘋先生授權,不得轉載!如發現未經授權轉載至其它網站將採取相關處理流程。


【 如喜歡瘋先生教學歡迎加入粉絲團 】

你可能有興趣的文章