Adroddodd Google Project Zero, ymchwilydd diogelwch, am ddarganfod un o'r ymosodiadau mwyaf ar ddefnyddwyr iPhone gan ddefnyddio gwefannau sy'n dosbarthu meddalwedd maleisus. Mae'r adroddiad yn nodi bod gwefannau'n chwistrellu meddalwedd maleisus ar ddyfeisiau'r holl ymwelwyr, sy'n rhifo rhai miloedd bob wythnos.
“Doedd dim ffocws penodol. Mae ymweld â safle maleisus yn ddigon i'r gweinydd manteisio i lansio ymosodiad ar eich dyfais, ac os yw'n llwyddiannus, gosod offer monitro. Rydyn ni'n amcangyfrif bod miloedd o ddefnyddwyr yn ymweld â'r gwefannau hyn bob wythnos,” ysgrifennodd arbenigwr Google Project Zero, Ian Beer, mewn post blog.
Dywedodd yr adroddiad fod rhai o'r ymosodiadau'n defnyddio campau dim-dydd fel y'u gelwir. Mae hyn yn golygu bod bregusrwydd wedi’i ecsbloetio nad oedd datblygwyr Apple yn ymwybodol ohono, felly roedd ganddyn nhw “sero diwrnod” i’w drwsio.
Ysgrifennodd Ian Beer hefyd fod Grŵp Dadansoddi Bygythiadau Google wedi gallu nodi pum cadwyn ecsbloetio iPhone gwahanol, yn seiliedig ar 14 o wendidau. Defnyddiwyd y cadwyni a ddarganfuwyd i hacio dyfeisiau sy'n rhedeg llwyfannau meddalwedd o iOS 10 i iOS 12. Hysbysodd arbenigwyr Google Apple o'u darganfyddiad a chywirwyd y gwendidau ym mis Chwefror eleni.
Dywedodd yr ymchwilydd, ar ôl ymosodiad llwyddiannus ar ddyfais defnyddiwr, bod malware wedi'i ddosbarthu, a ddefnyddiwyd yn bennaf i ddwyn gwybodaeth a chofnodi data am leoliad y ddyfais mewn amser real. “Roedd yr offeryn olrhain yn gofyn am orchmynion gan y gweinydd gorchymyn a rheoli bob 60 eiliad,” meddai Ian Beer.
Nododd hefyd fod gan y meddalwedd maleisus fynediad at gyfrineiriau defnyddwyr wedi'u storio a chronfeydd data o wahanol gymwysiadau negeseuon, gan gynnwys Telegram, WhatsApp ac iMessage. Gall amgryptio pen-i-ben a ddefnyddir mewn cymwysiadau o'r fath amddiffyn negeseuon rhag rhyng-gipio, ond mae lefel yr amddiffyniad yn cael ei leihau'n sylweddol os bydd ymosodwyr yn llwyddo i gyfaddawdu'r ddyfais derfynol.
“O ystyried faint o wybodaeth sy’n cael ei dwyn, gall ymosodwyr gynnal mynediad cyson i wahanol gyfrifon a gwasanaethau gan ddefnyddio tocynnau dilysu wedi’u dwyn hyd yn oed ar ôl colli mynediad i ddyfais y defnyddiwr,” mae Ian Beer yn rhybuddio defnyddwyr iPhone.
Ffynhonnell: 3dnewyddion.ru