Una virus en iPhone descubierto por el grupo de análisis de amenazas de Google (TAG), permitía a hackers usar un pequeño número de páginas webs para atacar a los usuarios del celular de Apple, aprovechando una vulnerabilidad en el sistema operativo iOS, accediendo a su servidor e implantando un sistema de monitorización en el dispositivo, para tomar el control completo del teléfono.

De acuerdo con una publicación del blog de Project Zero, el equipo de Google que se dedica a investigar las vulnerabilidades de seguridad día cero. “Los atacantes han hecho un esfuerzo constante para hackear a los usuarios de iPhone en ciertas comunidades durante un periodo de al menos dos años”, afirma un miembro de su equipo, Ian Beer.

El sistema de ataque consistía en que el usuario entraba en la página web hackeada, y el atacante podía acceder a su servidor e instalar un sistema de monitorización en su dispositivo que permitía obtener el control absoluto del mismo y con ello el acceso a todos sus datos. Según Beer, “estas páginas reciben miles de visitantes por semana”.

Se trata de un ataque de tipo abrevadero (watering hole, en inglés), una estrategia en la que los atacantes observan los sitios web que visita un grupo de víctimas e infecta uno de ellos con virus, logrando así infectarlos. Google descubrió cinco cadenas de explotación (exploit) de los celulares iPhone que afectaban a versiones desde iOS 10 hasta la última de iOS 12.

En total han encontrado catorce fallas, que han sido siete del navegador web de iPhone, cinco para el núcleo y dos sandbox separados -un aislamiento de procesos que usa el sistema para ejecutar programas-, que permiten introducir código malicioso en un dispositivo desde el exterior.

Beer afirma que Google le comunicó esta situación a Apple el 1 de febrero de 2019 poniéndole como fecha límite una semana para que solucionara el problema, que coincidía con el lanzamiento del iOS 12.1.4. Apple lanzó un parche para corregir la vulnerabilidad el 7 de febrero, hecho que hizo público a través de su página web.