Apple aún tiene que parchear una vulnerabilidad revelada durante la conferencia de “Hack in the Box” en Ámsterdam, que permite a un atacante con acceso físico (incluso en las últimas versiones de iOS) sustituir aplicaciones legítimas con versiones maliciosas indetectables para el dispositivo.

El investigador Chilik Tamir, de la empresa de seguridad móvil Mi3 Security, reveló durante su intervención que la mitigación en iOS para un ataque anterior que había desarrollado era incompleta y con una modificación aún podía infectar dispositivos iOS sin jailbreak con aplicaciones maliciosas o con comportamientos malintencionados.

El primer ataque de Tamir, que se dio a conocer públicamente el 31 de marzo durante “Black Hat Asia” en Singapur, fue posible gracias a una herramienta que desarrolló, la llamada Su-A-Cyder. Utilizando este software, un atacante puede intercambiar versiones legítimas de aplicaciones, desarrolladas con dicho certificado, con el fin de espiar a los usuarios y obtener privilegios elevados en el dispositivo que exponen los contactos, mensajes, fotos, micrófono y mucho más.

En tanto que la aplicación maliciosa tenía el mismo ID de paquete como el original, el atacante estaba en el negocio. Sin embargo, después de iOS 8.3 Apple ha impedido este tipo de ataque. Desde entonces Tamir ha encontrado una forma de evadir dicha mitigación con una nueva técnica llamada SandJacking, que permite a un atacante acceder a los contenidos de la sandbox de una aplicación.

"Apple ha parcheado el proceso de instalación de la puerta frontal, proceso que niega una actualización de cualquier aplicación con archivos que no coinciden", dijo Tamir. "Se olvidaron de la puerta trasera o el proceso de restauración."

Su ataque SandJacking funciona mediante la primer copia de seguridad del dispositivo, eliminando la aplicación original y haciendo la instalación de una aplicación fraudulenta. Al iniciar una restauración de la copia de seguridad en el dispositivo, el dispositivo volverá a surgir con el cliente malicioso, como lo llama Tamir. El ataque de Tamir requiere, debido a las modificaciones de Apple, que los usuarios aprueben aplicaciones manualmente. Una aplicación maliciosa (él demostró una versión fraudulenta de Skype en una entrevista con Threatpost) es probable que pase desapercibida por un usuario y sea aprobada.