War bisher von Malware-Infektionen eines Apple iPhones die Rede, wurde im gleichen Atemzug üblicherweise ein zuvor notwendiger Jailbreak – und damit physischer Zugang zum Telefon – erwähnt. Im Zuge der Analysen der Daten, die nach dem Einbruch bei Hacking Team im Netz veröffentlicht wurden, zeigt sich nun, dass es auch ohne Jailbreak und damit aus der Ferne klappt. Dies schreiben zumindest die Mobil-Malware-Experten von Lookout in einem Blogeintrag.
Laut Lookout besaß Hacking Team ein gültiges Enterprise-Zertifikat von Apple, mit dem sich Apps auf iOS-Geräten ohne Jailbreak installieren lassen. Das Zertifikat wurde inzwischen von Apple zurückgezogen.
Mit einem solchen Enterprise-Zertifikat lassen sich von Unternehmen selbst entwickelte Apps für iOS-Geräte publizieren, die nicht extra durch Apples Review-Prozess gehen müssen. Dies ist ein Standard-Verfahren für Firmen, die Apps für ihre Angestellten entwickeln. Zwar sollen sich die Apps damit nur auf den Geräten von Angestellten installieren lassen, technisch ist es aber möglich, die Apps auf beliebigen iOS-Geräten zu installieren.
Damit lassen sich auf beliebigen iOS-Geräten zum Beispiel unbemerkt Apps mit Malware installieren. Laut Lookout warnt ein iPhone zwar standardmäßig seinen Besitzer, wenn dieser eine App installiert, die nicht aus dem AppStore stammt. Doch viele Benutzer würden diese Warnungen ignorieren. Unsichere und schädliche Apps versuchen in der Regel, den AppStore zu umgehen, der hohe Sicherheitsstandards setzt und strengen Prüfungen voraussetzt.
Einige Apps mit Malware versuchen, heimlich über einen Mac mit OSX und den USB-Anschluss auf das mobile iOS-Gerät zu gelangen. Es gibt verschiedenen Versionen, die auch mit einem Jailbreak-Exploit gekoppelt sind. Nur etwa acht Prozent aller iPhones weltweit sind ge-jailbreaked – was an sich beruhigend ist, da durch den Jailbreak zahlreiche, an sich wirksame Sicherheitsmechanismen von Apples Smartphone-Betriebssystem abgeschaltet werden.
Die von Hacking Team verwendete Malware installiert sich entweder über einen Link in einer E-Mail oder einen Drive-by-download per Browser. Sie schneidet Dateneingaben auf dem Gerät heimlich mit. Dazu wird eine manipulierte Keyboard-Software benutzt, die auf dem Gerät installiert werden muss. Sie erlaubt das Mitlesen von E-Mails und Logins, aber nicht das Abgreifen von Passwörtern, so Lookout.
Gastbeitrag von Michael Kranawetter, Chief Security Advisor (CSA) bei Microsoft in Deutschland. In seinem eigenen Blog veröffentlicht Michael alles Wissenswerte rund um Schwachstellen in Microsoft-Produkten und die veröffentlichten Softwareupdates.
Der ganze Artikel: Apple iPhones ohne Jailbreak infizierbar