O grupo Anonymous acabou de anunciar que conseguir obter 12 milhões de registos de dispositivos Apple, incluindo nomes de utilizadores, nomes dos dispositos, números de telemóvel e moradas. A fonte? Um agente do FBI.
Fiz uma pequena pesquisa sobre este assunto e parece que os Anonymous utilizaram uma antiga falha no Java (damn you Java) - CVE-2012-0507. Esta falha estava a ser bastante explorada por este grupo para obter informações confidenciais.
O grupo menciou que o ataque ao FBI foi na segunda semana de março de 2012, ou seja, entra dentro do timeline da utilização desta falha.
Segundo o Errata Security, tudo PODE TER começado com a intercepção da chamada de conferência do FBI. 40 agentes reunidos de várias zonas do mundo. Os Anonymous conseguiram interceptar o e-mail enviado para todos os agentes, disponibilizando o código acesso. Posteriormente enviaram um email diretamente para os participantes da conferência com um link para o site que alojava um aplicação Java com o exploit acima referido.
Também no final de março, o mesmo exploit - CVE-2012-0507 - foi integrado no Blackhole o que pode significar que algum agente pode ter sido infetado com este exploit kit. De referir que o Blackhole tinha diversos exploits Java no seu arsenal. Muitos deles sem correcções disponíveis.
No blogue da Sophos, é referido que o grupo pretendia envergonhar a equipa do FBI ao invés de prejudicar os utilizadores da Apple. Na minha opinião, não me parece o caso porque a informação foi publicada e, provavelmente, milhões de utilizadores viram os seus dados públicos.
Fica por apurar a veracidade da informação disponibilizada pelos Anonymous.
Por enquanto podem verificar no TNW se o vosso UDID foi comprometido.
“No blogue da Sophos, é referido que o grupo pretendia envergonhar a equipa do FBI ao invés de prejudicar os utilizadores da Apple. Na minha opinião, não me parece o caso porque a informação foi publicada e, provavelmente, milhões de utilizadores viram os seus dados públicos.”
Não lhe parece o case se não tiver em conta que os primeiros 1.000,001 de um total de 12.000,000 de UIDs foram publicados em resposta à comunicação oficial do FBI de que não têm qualquer conhecimento da lista e de que é uma farsa. O grupo Anonymous está a fazer serviço público, lamentavelmente o próprio público tem dificuldade em perceber a nobilidade deste esforço e coragem.