Imessage brukt i irriterende fornektelse av tjenesteangrep

Noen iOS-apputviklere har angivelig blitt målrettet mot et angrep om nektelse av tjeneste (DOS) som gjør bruk av noen store oversikter i Apples iMessage-app. Forhåpentligvis vil Apple legge merke til før problemet blir mer utbredt.

I følge The Next Web har utviklerne iH8sn0w, Grant Paul og andre mottatt utallige meldinger på sine iOS-enheter som kan krasje appen, og i noen tilfeller låse dem helt ut av meldingssystemene sine. Dette er spesielt irriterende fordi Apples Meldinger-app brukes til å administrere både iMessages, som sendes fra Apples desktop messaging-app, og tekstmeldinger sendt fra mobiltelefoner.

"IMessage-spammeren har nå låst meg helt ut av iOS Messages-appen min, ved å sende lange strenger med Unicode-tegn, " Tweetet Grant Paul på fredag. "Definitivt et gjøremål."

Selv om motivet bak angrepene er uklart, antydet iH8sn0w på Twitter-konto at en annen iOS-utvikler kan være bak angrepene. Spammeldingene inkluderte referanser til gruppen Anonym, selv om forbindelsen virker usannsynlig da gruppen generelt fokuserer på store sosiale problemer.

På Twitter sa iH8sn0w at angrepene var "bare en haug med barn som kjedet seg og lekte med AppleScript."

Hvordan det fungerer

Angrepet utnytter flere unike aspekter i iMessage. For det første at det tilsynelatende ikke er noen grense for hvor mange meldinger som kan sendes til appen, eller hvor raskt disse meldingene blir sendt fra iMessage. Selv om dette kan være greit for hurtigprat via direktemelding, er det tillatt angripere å sende meldinger med en alarmerende hastighet.

For det andre er det ingen måte å blokkere enkeltbrukere på iMessage. Når noen har Apple-brukernavnet ditt, kan de fortsette å sende deg meldinger, og det er lite ofre som kan gjøre.

I angrepene mottar offerets konto enten et enormt antall meldinger eller ekstremt store meldinger. I begge tilfeller gjør den store mengden informasjon det vanskelig å til og med få tilgang til iOS-appen for å fjerne søppelet som blir sendt til den. I noen tilfeller kan uvanlige Unicode-tegn eller emoji være inkludert for å gjøre meldinger så store og sammensatte at Messages-appen krasjer.

I følge iH8sn0w så det ut til at angrepet var enkelt nok til at det ble utført med AppleScript - Apples grunnleggende kodespråk. iH8sn0w sa også i en Tweet at han eller hun til slutt deaktiverte kontoen for å stoppe flommen av meldinger.

Større implikasjoner?

Den gode nyheten er at en angriper trenger ditt iMessage-kontonavn før du monterer et tekstmeldingsangrep. Det virker som om angrepene bare kan kjøres fra person til person

Imidlertid er det grunnleggende endringer som Apple kan implementere for å forhindre problemet. Et middel for å blokkere krenkende brukere er en vanlig funksjon blant andre chattetjenester og apper, og Apples beslutning om å ekskludere det virker blindt optimistisk.

For øyeblikket er det eneste bruksområdet som er tilgjengelig for ofrene, å begrense iMessages-varsler fra "bare kontaktene mine" og deretter fjerne krenkende personer fra kontaktene dine.

En annen endring ville innføre en slags begrensning på meldinger. Da vi snakket med Andrew Conway fra Cloudmark om SMS-spam, foreslo han at å fjerne unna ubegrensede tekstplaner kraftig ville redusere mengden spam som rammer mobiltelefoner. Selv bare noen få sekunder pause for hvert hundre meldinger, vil gi ofrene et kritisk vindu til å reagere.

Personlig minner dette angrepet meg om AIMs gamle dager, der brukere kunne bli slått offline eller til og med utestengt fra tjenesten med en liten kunnskap fra en angriperes side. At en relativt ny funksjon fra Apple skal inneholde et problem som andre selskaper løste for snart 20 år siden, oppsummerer ganske mye hele saken.