“Find My” di Apple può essere usato per sottrarre password e altri dati

Nov 07, 2023 Attacchi, Hacking, News, RSS

La tecnologia “Find My” di Apple, conosciuta in Italia come “Dov’è”, può essere usata da un attaccante per sottrarre credenziali e altri dati sensibili sfruttando il meccanismo del keylogging.

Il servizio serve per aiutare gli utenti a localizzare i dispositivi Apple persi tramite i dati GPS e Bluetooth degli altri device. Il dispositivo perso invia segnali Bluetooth in loop che vengono rilevati dai device vicini, i quali inviano la propria posizione al proprietario attraverso la rete “Find My”.

Come riporta BleepingComputer, il ricercatore Fabian Bräunlein e il suo team sono riusciti a sfruttare la rete “Find My” di Apple per ottenere dati sensibili memorizzati nei dispositivi.

I ricercatori hanno creato una PoC integrando un keylogger con un trasmettitore ESP32 Bluetooth in una tastiera USB per dimostrare che è possibile inviare password e altre informazioni digitate sulla tastiera attraverso la rete Bluetooth di “Dov’è”. Il keylogger non ha nemmeno bisogno di un AirTag per inviare messaggi: tutti i dispositivi Apple sono fatti in modo da rispondere a qualsiasi messaggio Bluetooth.

Se le comunicazioni sono formattate in maniera appropriata, il device Apple che le riceve crea un report sulla posizione del dispositivo perso e lo carica sulla rete, insieme alle informazioni digitate sulla tastiera.

Ciò significa che installando un keylogger su un dispositivo è possibile sfruttare la rete “Find My” per ottenere tutto ciò che l’utente digita sulla propria tastiera.

Il problema di questo approccio è che la velocità di trasmissione è molto bassa (si va dai 26 caratteri al secondo per la trasmissione ai 7 caratteri al secondo in ricezione), e la latenza varia tra 1 e 60 minuti. Le tempistiche sono molto lunghe, ma visto che l’obiettivo è ottenere password e altre informazioni non si tratta di un problema così grave. 

La scoperta dei ricercatori risale a più di due anni fa ed è già stata segnalata ad Apple, la quale non ha ancora provveduto a risolvere il problema. BleepingComputer ha contattato l’azienda per chiedere un commento in merito alla questione ma non ha ricevuto risposta.

• Apple, Bluetooth, dov'è, find my, GPS, keylogging