Attacco spam ad Apple Podcast, ecco che succede

Alcuni utenti riferiscono di uno strano comportamento dell’app Podcast su iOS e macOS: la riproduzione non richiesta di oscuri podcast sconosciuti a tema religione, spiritualità e istruzione.

Del problema riferisce Joseph Cox del sito 404 Media, spiegando di avere notato che, di tanto in tanto, sbloccando il Mac si ritrova con Podcast aperti che non ha mai richiesto. Tra i titoli comparsi negli ultimi mesi, Cox cita stringhe come “5../XEWE2′””””onclic…”, link mascherati che rimandano a SermonAudio, rimandi a Google Play e persino link a playlist Spotify. A questi si aggiunge un titolo in arabo che può essere tradotto come “Parole di vita” e che mostra un indirizzo Gmail.

I contenuti non seguono alcuna logica: alcuni podcast includono effettivamente audio, come vecchie prediche religiose, mentre altri risultano completamente silenziosi. La natura casuale delle apparizioni non ha spiegazioni immediate.

L'”attacco” (sempre ammesso che si possa definire così) sembra originare da link via web in grado di aprire automaticamente l’app Podcast e avviare la riproduzione di episodi mai richiesti.

Cox spiega nel suo articolo che alcuni dei podcast mostrano titoli contenenti codice confuso o URL esterni. Uno di questi tenta di reindirizzare l’utente verso un sito che esegue un attacco XSS. Il link, inserito nella sezione “Show Website” del podcast, porta a test.ddv.in.ua, dove compare un pop-up con il messaggio “XSS. Domain: test.ddv.in.ua”.

Nei giorni scorsi anche una recensione lasciata nell’app Podcast ha segnalato lo stesso comportamento, con un giudizio a una stella accompagnato dal commento: “Scam. How does Apple allow this attempted XSS attack?”

Patrick Wardle, esperto di sicurezza macOS e autore del sito Objective-See, conferma che è possibile riprodurre un comportamento simile: secondo le sue verifiche, una semplice visita a un sito web può innescare l’apertura automatica dell’app Podcast e l’avvio di un contenuto scelto da un potenziale aggressore, senza alcuna richiesta di consenso. Wardle sottolinea che non si tratta — di per sé — di un attacco grave, ma di un vettore potenzialmente efficace qualora esistesse una vulnerabilità sfruttabile nell’app di Apple.

Il fenomeno richiama alla mente lo spam del Calendario di Google, dove eventi indesiderati venivano inseriti a insaputa degli utenti per diffondere link sospetti. La logica è simile: sfruttare un servizio integrato per far arrivare contenuti a utenti che non li hanno mai richiesti.

Cox riferisce di avere contattato Apple più volte negli ultimi mesi — cinque email in totale — senza ricevere alcuna risposta sul caso, nonostante l’azienda avesse risposto ad altre richieste relative ad articoli non collegati a questo problema.

Non è la prima volta che cybercriminali sfruttano servizi Apple per tentare di colpire gli utenti. In passato è molto circolata una campagna di phishing basata su inviti del Calendario. La prudenza non è mai troppa e il consiglio resta quello di evitare link sospetti che avviano podcast sconosciuti.

Per tutti gli aggiornamenti sulla sicurezza informatica è possibile consultare la sezione dedicata di Macitynet.