Na altura não comentei isto...
É mais uma falta de conhecimento notória, já habitual, por parte da PPLWARE.
A notícia real é sobre uma vulnerabilidade no KEYCHAIN.
A PPLWARE viu o vídeo e inferiu:
(...)
Antoine Vincent Jebara e Raja Rahbani da myki descobriram uma falha grave no OSX ao nível do keychain que permite roubar as passwords aí guardadas quase de uma forma “invisível”. Na prática este ataque não requer qualquer interacção com a vítima uma vez que os cliques do rato são simulados (através de botões quase ocultos) para ganhar acesso ao keychain.
A Apple já tem conhecimento de tal vulnerabilidade mas ainda não existe qualquer solução para a mesma.
Os investigadores referem que o processo de ataque é extremamente rápido, e em poucos segundos conseguem-se ter resultados. Os comandos necessários para o sucesso do ataque podem ser executados através de vários tipos de ficheiros ou mesmo estarem “embutidos” numa imagem ou vídeo. O botão “malicioso” aparece normalmente no canto ou através da doca, sendo automaticamente pressionado.
(...)
Treta.
O que está demonstrado no vídeo é a utilização de scripts, que podem ser evocados de vários
modos (como os observados no vídeo), para realizar várias tarefas. É precisamente este um
dos propósitos de ter a funcionalidade de scripts. Como tal, esses scripts podem ser usados
para explorar a vulnerabilidade no KEYCHAIN.
Mas não estão directamente relacionados. Além de que, para lá colocar os scripts para ter
este comportamento, é necessário acesso ao computador. Não foi demonstrada nenhuma
vulnerabilidade que possa lá colocar estes scripts, de forma remota e sem intervenção do
utilizador, de modo a serem executados quando se abre uma imagem (como mostrado no
vídeo).
Está explicado aqui (Malwarebytes):
https://blog.malwarebytes.org/mac/2015/09/a-look-at-the-os-x-brokenchain-vulnerability/
(...)
Thus, although this is definitely a concerning issue, the sky is not falling. Exploiting this issue cannot be done without the potential for alerting the user, and far worse can be done without alerting the user in any way at all.
(...)
Se o pessoal da PPLWARE não sabe do que está a falar, ou não diga nada, ou escolha melhor
as suas fontes (em casos sobre segurança, escolha fontes que percebam de segurança).
Quanto mais não seja, para evitar dar publicidade gratuita a quem a procura através de
invenções.
Ah! E citem-nas (no mínimo o nome da fonte, de preferência com um link), para que as
pessoas possam aferir da validade da "notícia".
Bem mais grave, e provavelmente o que serviu de inspiração aos gajos a quem a PPLWARE
deu publicidade gratuita, foi a falha divulgada uns tempos antes.
http://arstechnica.com/security/201...et-hackers-steal-keychain-1password-contents/
(...)
In a detailed blog post published in response to the new proof-of-concept exploit, AgileBits "Chief Defender Against the Dark Arts" Jeffrey Goldberg wrote: "The fact of the matter is that specialized malware can capture some of the information sent by the 1Password browser extension and 1Password mini on the Mac under certain circumstances. But roughly speaking, such malware can do no more (and actually considerably less) than what a malicious browser extension could do in your browser."
(...)
(escolhi uma citação para aqueles que têm a mania de colocar extensões nos browsers,
que é das coisas mais perigosas que se podem fazer, e que quem já desenvolveu extensões
para browsers sabe muito bem)
Mas, a razão que me levou a pegar num post do início do mês, é esta outra, que ainda é
mais preocupante:
http://www.forbes.com/sites/thomasbrewster/2015/09/16/airdrop-ios-vulnerability/
O que vale é que a maioria das pessoas, em princípio, terá o AirDrop sempre desligado.