恶意团体利用Windows的Apple iTunes（和iCloud）软件中的bug，在绕过任何防病毒应用程序的同时，在这些计算机上安装勒索软件。

安全公司Morphisec向苹果披露了此安全漏洞（以及随后的攻击）后，该漏洞已得到修复。

Morphisec观察到，该漏洞利用的是一个不常见的“未引用路径漏洞”，尽管此漏洞以前在包括英特尔管理引擎和ExpressVPN（后者在最近的7月）在内的知名软件中都已发现。。

顾名思义，此漏洞是由程序员为变量分配路径而引起的，但该路径未能用引号引起来。

与iTunes和iCloud捆绑在一起的Apple软件更新实用程序中存在此特定的安全缺陷，该缺陷用于传递更新。

危险依然存在

当卸载iTunes时，Apple Software Update仍保留在PC上，需要单独删除，这一事实加剧了这种漏洞利用的危险，但是许多人没有意识到这一点，即使他们仍然很容易受到这种利用的攻击以前放弃了iTunes。

Morphisec指出：“调查结果显示Apple Software Update已安装在不同企业的大量计算机上，我们对此感到惊讶。”

不用说，如果您在Windows上运行iTunes或iCloud，则应确保已更新应用程序（此修复程序适用于Windows的iTunes 12.10.1和适用于Windows 7.14的iCloud）。

苹果当然已经关闭了Mac上的iTunes，但是该应用程序仍然可以在Windows上运行。

令人担忧的是，正如Ars Technica报道的那样，Morphisec进一步发现它发现了更多已报告给Apple的漏洞，但该公司尚未修复它们。到目前为止，苹果公司仅解决了这一特殊漏洞。

Morphisec之前将这种漏洞利用的责任归咎于Bonjour更新程序，但在今天的更新中，指出了以下内容：“在重新利用漏洞利用的过程中，随着我们继续与Apple合作处理尚未修复或宣布的其他漏洞，我们注意到，滥用的漏洞专门与与Bonjour无关的Apple软件更新组件有关。”