近日，360安全大腦在全網(wǎng)范圍內(nèi)偵測(cè)到多起專門針對(duì)蘋果產(chǎn)品的高級(jí)威脅攻擊，該攻擊利用了蘋果現(xiàn)存的3個(gè)最新0day漏洞（CVE-2021-30661,CVE-2021-30665,CVE-2021-30666）,其影響范圍覆蓋蘋果系統(tǒng)眾多版本，包括最新版iOS系統(tǒng)和macOS系統(tǒng)，因此最新型號(hào)的iPhone手機(jī)和Apple電腦均無(wú)法防御相關(guān)攻擊。目前，蘋果官方已發(fā)布安全公告，已于4月26日開(kāi)始至5月陸續(xù)發(fā)布安全補(bǔ)丁修復(fù)相關(guān)0day漏洞，鑒于該漏洞的嚴(yán)重危害，請(qǐng)廣大蘋果用戶及時(shí)更新安全補(bǔ)丁，來(lái)保護(hù)好你的蘋果手機(jī)及電腦。

 一、漏洞介紹

   經(jīng)過(guò)360安全大腦的分析研判，通過(guò)該0day漏洞，攻擊者可以精心制作多個(gè)惡意網(wǎng)站誘導(dǎo)受害用戶訪問(wèn)，惡意網(wǎng)頁(yè)會(huì)判斷受害者訪問(wèn)使用的瀏覽器類型，如果是Safari則發(fā)送攜帶exploit的JS代碼，嘗試多個(gè)瀏覽器漏洞和內(nèi)核提權(quán)漏洞組合攻擊，最終使用自定義的Loader加載一個(gè)Mash-o后門程序。從漏洞危害層面來(lái)說(shuō)，該0day漏洞若被不法黑客利用來(lái)制作后門程序，攻擊者不僅可以收集APP安裝信息，還竊取通訊錄中所有聯(lián)系人信息，竊取設(shè)備UDID和設(shè)備序列號(hào)，以及竊取IOS KeyChain中保存的應(yīng)用賬戶密碼信息。從而竊取用戶Apple設(shè)備中的重要資料和信息，對(duì)受害者的個(gè)人隱私、帳號(hào)等造成極大威脅。

二、修復(fù)建議

   目前，蘋果已發(fā)布最新安全更新，請(qǐng)廣大蘋果用戶盡快前往：

https://support.apple.com/zh-cn/HT201222 將系統(tǒng)更新至最新版本，避免遭受漏洞攻擊。