【2024-02-08 00:43:10爱思瑞网快讯】
一个安全研究员被控使用一个计划，允许他窃取价值数百万美元的苹果产品、礼品卡和服务，而在几天后，苹果在操作系统补丁说明中感谢了他。
与ZeroClicks Lab有关的安全研究员Noah Roskin-Frazee因发现软件漏洞而受到苹果的赞扬。然而，他最近因利用一种漏洞被人们所关注，该漏洞使他窃取了价值250万美元的iPhone、Mac以及礼品卡。
根据404Media的报道，Roskin-Frazee发现了一个后台系统Toolbox中的漏洞，该系统是苹果用来进行订单暂停的工具。 在订单暂停时，仍然可以对订单进行编辑。
他以及涉嫌共谋者Keith Latteri使用密码重置工具获得了第三方公司的雇员账户的访问权限，该公司帮助苹果提供客户支持。一旦他们获得了员工的凭证，他们就可以访问苹果的系统并为苹果产品下订单。
他们从2018年12月开始进行这项计划，并一直持续到2019年3月至少。
他们会创建和篡改订单，向其中添加像iPhone和Mac这样的产品，并将价格更改为零。他们还会订购可以在苹果商店使用或转售的礼品卡。
虽然他们为实物产品使用了虚假姓名和投递地址，但其中一个人为自己和家人延长了两年的AppleCare。
这个故事最令人感兴趣的事情之一是，Roskin-Frazee被逮捕后两周，苹果在其网站上公开感谢了他。
在软件漏洞中存在着巨大的商机-无论是发现还是利用这些漏洞。
Jamf Threat Labs最近提出了一个后渗透篡改技术的概念证明，可以使iPhone在没有进入锁定模式的情况下表现得像在锁定模式下。
即使是Apple Vision Pro也不安全。在其发布前一天，一位安全研究员声称为visionOS创建了一个内核漏洞利用程序，为潜在的越狱和恶意软件制造铺平了道路。
