MADRID, 23 Abr. (Portaltic/EP) -
La compañía de ciberseguridad ZecOps ha descubierto una vulnerabilidad en la aplicación de correo electrónico nativa de los móviles iOS de Apple, Mail, que ha sido explotada desde 2018 para atacar a los usuarios con mensajes maliciosos que los infectaban incluso aunque no los abrieran.
Este fallo de seguridad afecta a las últimas versiones del sistema móvil de Apple, iOS 12 y iOS 13, y a pesar de que se han descubierto ataques desde enero de 2018, lleva activa desde septiembre de 2012, con el lanzamiento de iOS 6 junto con el iPhone 5.
Tras tener conocimiento del problema, el pasado 17 de abril Apple puso fin a la vulnerabilidad y la parcheó en la última beta de iOS, 13.4.5.
Este fallo de seguridad afectaba tanto a móviles iPhone como a tabletas iPad -no así a la app de ordenadores macOS-, y se ha explotado con el envío de mensajes maliciosos a través de ataques dirigidos a usuarios del correo electrónico nativo de iOS, Mail, según ha explicado ZecOps en un comunicado.
Los correos malintencionados permiten ejecutar código de forma remota para infectar los dispositivos, en los que consumen una parte importante de la memoria RAM, agotando sus recursos de procesamiento.
Este ataque tiene lugar mediante una práctica conocida como 'desbordamiento de pilas remoto', que satura el búfer de datos de la aplicación con un código malicioso que altera la prioridad de ejecución de los procesos o incluye otros no autorizados.
Existen varias formas en que los ciberatacantes han utilizado esta vulnerabilidad en sus actividades, y algunas de ellas que afectan a iOS 13 están activas con la aplicación de correo de iOS funcionando en segundo plano, de manera que infectan al usuario sin que este haga ningún clic para abrir el correo.
Al utilizar esta práctica, este ataque no deja rastro en el dispositivo, ya que actúa antes de descargarse todo el contenido del correo electrónico, el usuario no percibe nada anómalo en el mensaje incluso al abrirlo y en algunas ocasiones este se autodestruye.
Entre las víctimas del fallo de seguridad de iOS se encuentran un trabajador de una gran empresa de Estados Unidos, un ejecutivo de una empresa de telecomunicaciones japonesa, un famoso de Alemania, un periodista europeo y proveedores de seguridad informática de Arabia Saudí e Israel.
ZecOps estima que al menos uno de los ataques procedía de los servicios de ciberesponaje de un estado, que accedieron al 'exploit' a partir de un investigador externo.
