实验室新闻 - 2015年7月17日 星期五

iOS崩溃报告：屏蔽"弹出窗口"并无实质帮助

肖恩 @ 10:15 GMT 发布

《每日电讯报》周四发表了一篇关于针对iOS用户的诈骗文章。核心内容是：诈骗者使用JavaScript生成的对话框显示所谓的"IOS崩溃"报告警告，诱使人们拨打技术支持电话。

在《每日电讯报》文章接近结尾处，提供了以下建议： “为防止此问题再次发生，请前往设置 -> Safari -> 屏蔽弹出窗口。”

不幸的是，这个建议是错误的。更糟糕的是，一些安全和技术专家现在正在众多网站上重复这个错误建议。我们如何知道这个建议是错误的？因为我们实际测试过…

首先，这种"IOS崩溃报告"诈骗是技术支持诈骗的变种，相关案例早在2008年就有记录。过去，冷电话直接来自印度的呼叫中心。但最近，网络诱饵被用来促使潜在受害者联系诈骗者。

谷歌搜索返回了几个活跃的诈骗网站，显示以下文字： “由于您手机中的第三方应用程序，IOS已崩溃。”

这是在iPad上使用iOS Safari查看的其中一个网站： Safari的"欺诈网站警告"和"屏蔽弹出窗口"功能并未阻止页面加载。

上图中看起来像弹出窗口的内容实际上是JavaScript生成的对话框。这种对话框会不断重新生成，很难关闭。在Safari中关闭JavaScript是重新获得控制的最快方法。不幸的是，禁用JavaScript会严重影响大量合法网站的正常使用。

这是在Windows上使用Google Chrome查看的同一网站： 注意上图中有额外文字：阻止此页面创建其他对话框。当前版本的Chrome和Firefox（至少Windows版）会向重新生成的对话框中注入此选项，允许用户打破循环。遗憾的是，Internet Explorer和Safari没有此功能。（我们使用Windows/Windows Phone的IE和iOS Safari进行了测试。）

如果所有浏览器都支持此预防功能不是很好吗？ 是的，我们也这么认为。

但不仅仅是浏览器，具有浏览器功能的应用程序也可能受到影响。 这是通过Cydia显示的JavaScript对话框示例。

《每日电讯报》文章结尾包含了伦敦市警察局的以下建议： “切勿在电话中向他人提供您的iCloud用户名和密码或银行详细信息。”

确实！将您的iCloud密码交给别人可能很快将支持诈骗转变为数据劫持和勒索计划。我们尝试拨打几个诈骗者电话号码，看他们是否会索要我们的iCloud凭证——结果发现我们尝试的号码目前均已停止服务。

希望它们保持这种状态。（但它们不会。）