Pesquisadores de segurança identificaram atividades suspeitas no aplicativo Podcasts da Apple que poderiam ser usadas para entregar conteúdo malicioso aos usuários, com base em um relatório de 404MídiaJoseph Cox.
O relatório de Cox descreve algumas experiências estranhas com o aplicativo Podcasts que certamente sugerem que algo desagradável está acontecendo nas versões iOS e macOS. Ele diz que nos últimos meses, o aplicativo lançou e exibiu automaticamente podcasts incomuns sem sua intervenção. No Mac e no iPhone, o aplicativo abriu podcasts de religião, espiritualidade e educação sem motivo aparente, em alguns casos até mesmo lançando-se no momento em que Cox desbloqueou seu dispositivo.
Os podcasts em questão geralmente apresentam títulos estranhos contendo fragmentos de código, URLs e, em alguns casos, tentativas de ataques de script entre sites.
O especialista em segurança da Objective-See, Patrick Wardle, disse a Cox que conseguiu replicar um comportamento semelhante, mas no seu caso através de um site. “Simplesmente visitar um site é suficiente para acionar a abertura de Podcasts (e carregar um podcast da escolha do invasor) e, ao contrário de outros lançamentos de aplicativos externos no macOS, nenhum aviso ou aprovação do usuário é necessário”, disse Wardle. 404 Mídia.
Um podcast particularmente preocupante aparentemente inclui um link que redireciona para um site que tenta um ataque XSS – uma técnica na qual os invasores injetam código malicioso em sites que de outra forma pareceriam legítimos. Quando visitado, o site exibe um pop-up reconhecendo a tentativa de XSS.
Wardle observa que, embora esse comportamento não seja imediatamente perigoso por si só, ele cria um mecanismo de entrega eficaz se existirem vulnerabilidades no aplicativo Podcasts. “O nível de investigação mostra que os adversários estão avaliando ativamente o aplicativo Podcasts como um alvo potencial”, disse ele.
A situação guarda semelhanças com relatos de Spam do Google Agenda de vários anos atrás, onde malfeitores adicionavam eventos não solicitados contendo links ou conteúdo promocional aos calendários dos usuários.
A Apple não respondeu aos vários pedidos de comentários de Cox sobre o assunto. O aplicativo Podcasts apresentou comportamento incomum semelhante em sua experiência? Deixe-nos saber nos comentários.
