美政府警告iOS用户提防高危漏洞“假面攻击”

美国政府今天发布通告，提醒 iPhone 和 iPad 用户提放最近被发现的高危安全漏洞“假面攻击（Masque Attack）”。假面攻击安全漏洞本周一被发现，可以通过 iOS 企业配置文件将恶意第三方软件直接安装至 iOS 设备，并替代各种真正的第三方软件。该通告来自国家网络安全和通信集成中心和美国计算机应急准备小组，介绍了假面攻击如何传播——诱使用户通过钓鱼链接安 装非信任的应用。

安装至 iOS 设备的恶意软件可能会：

-模仿原有应用的登陆界面并盗取受害者的登陆信息。

-访问本地数据缓存中的敏感信息。

-执行后台任务，监控用设备。

-获得 iOS 设备 Root 权限。

-无法与真正的第三方应用区别。

美国政 府的通告建议 iOS 用户不要从 App Store 之外的来源安装应用，避免点击在查看网页时出现的“安装”按钮。显示“不受信任的应用开发者”时，点击“不要信任”。政 府发布计算机安全警告非常罕见，在2014年只出现过13次。其他安全漏洞提醒包括心脏出血（Heartbleed）等。

发现“假面攻击”安全漏洞的安全团队 FireEye 已经通知苹果，不过目前 iOS 8.1.1 测试版还未修复该漏洞。此外，假面攻击还影响 iOS 7.1.1、7.1.2、8.0 和 8.1。目前，苹果还没有对假面攻击做出评论。假面攻击和早些时候被发现的 WireLurker 都会长期影响 iOS 用户，两款恶意软件都利用了 iOS 设备企业配置文件可以任意安装应用的漏洞。