SideStepper minaccia la vulnerabilità dei dispositivi aziendali iOS

I ricercatori di Check Point, azienda specializzata in cybersecurity, hanno scoperto una nuova minaccia per i dispositivi mobili. Solo che stavolta ad essere in forte rischio sono i device aziendali della Apple, quelli che montano il sistema operativo iOS, quindi iPhone e iPad. La vulnerabilità individuata prende il nome di SideStepper ed è in grado di introdursi nel sistema iOS sfruttando le soluzioni MDM (mobile device management), che rappresentano un accesso privilegiato perché non sono compresi nell'aggiornamento di sicurezza di iOS 9. A rischio sono quindi i dati degli utenti e, inoltre, SideStepper è anche in grado di installare applicazioni dannose. L'annuncio è stato dato alla conferenza Black Hat Asia 2016 che si tiene a Singapore.

Come funziona SideStepper

SideStepper è in grado di scavalcare le misure di sicurezza introdotte da Apple con iOS 9 per evitare che l'utente installi app aziendali malevole. Il funzionamento si basa sulla classica tecnica del phishing: il link su cui cliccare viene proposto attraverso un'email, un sms o un messaggio in chat. Se si cade nella trappola, verrà installato sul dispositivo un profilo di configurazione malevolo, con il quale un hacker potrà imitare i comandi, che sono autorizzati, dei sistemi di management delle app aziendali. Questi ultimi sono esenti dalle misure di sicurezza contenute in iOS 9 e questo si traduce nella possibilità di installare app sul telefono o sul tablet in modalità Ota, ovvero con la distribuzione del software direttamente dalla rete dati. Da questo momento in poi l'applicazione ha praticamente campo libero per fare ciò che vuole.

È da un po' di tempo che i dispositivi della Apple sono sotto minaccia, solitamente invece indicati come esempi di inviolabilità. Secondo Michael Shaulov, head of mobility di Check Point, la situazione è generata dal fatto che, da un lato, Apple sta dimostrando di essere meno attenta di un tempo verso questi tipi di problemi, dall'altro invece i cybercriminali sono sempre più esperti e in grado di elaborare sistemi apparentemente inviolabili. È il caso che Apple cominci a prendere in considerazione il problema, compresa la segnalazione inviatagli proprio dai ricercatori di Check Point in relazione a SideStepper.

SideStepper mette a rischio quindi i dispositivi aziendali, anche se al momento non è chiaro quanti dispositivi possono essere effettivamente a rischio.

Apple, interpellata da The Verge, ha tenuto a precisare che questa "non è una vulnerabilità di iOS", definendola come un classico esempio di phishing. Il consiglio per evitare di mettere a rischio il proprio dispositivo è quello di "scaricare app da fonti sicure come l'Apple Store e di prestare attenzione all'avvertimento che abbiamo inserito prima dell'inizio del download di applicazioni poco attendibili".