Eine bislang unbekannte Gruppe soll über gehackte Websites und komplexe Exploit-Chains Schadcode auf Apple-Geräte eingebracht haben, der quasi alles konnte.

Das Google-Sicherheitsteam Project Zero hat eine bislang beispiellose Malware-Kampagne gegen iPhone-Nutzer aufgedeckt. Über mehrere Jahre soll eine Gruppe bisher ungenannter Täter verschiedene Websites gehackt und mit Schadcode infiltriert haben.

Über äußerst komplexe Exploit-Chains, die Bugs in Safari, im Kernel sowie mehrere Sandbox-Escapes ausnutzten, kam so ein Implant auf die betroffenen Geräte, das nahezu vollständig freie Hand hatte, wie das Project-Zero-Forscher Ian Beer berichtet.

Beispielloser Angriff auf Tausende
Solche Drive-by-Angriffe, bei denen der Besuch infizierter Websites ausreicht, um sich Schadcode einzufangen, sind im iOS-Segment bislang quasi unbekannt. Da Exploits für iOS auf dem Sicherheitsmarkt extrem teuer (weil vergleichsweise selten) sind, kommen vor allem gezielte Angriffe vor – etwa auf Aktivisten in Unterdrückerstaaten oder besonders "wertvolle" Personen wie Politiker oder Manager.

Hier wurde in der Vergangenheit der Begriff des "1-Million-Dollar-Dissidenten" geprägt. Beer meinte, hier handele es sich eher um ein Projekt, um den "n+1'th potential future dissident" zu überwachen. Ob die Exploits 1 Million, 2 Millionen oder 20 Millionen Dollar gekostet hätten, wolle er nicht diskutieren.

Die ausgenutzten Lücken sollen über mehrere Jahre in iOS vorhanden gewesen sein – auch bei der Entdeckung durch das Google Project Zero waren einige noch nutzbar, also als Zerodays ungepatcht. Betroffen waren iOS 10, 11 sowie 12. Apple habe auf Googles Angaben mit dem Out-of-Band-Update iOS 12.1.4 am 7. Februar reagiert. iOS 10 kam im September 2016 auf den Markt. Insgesamt fünf verschiedene Exploit-Chains konnten die Google-Sicherheitsforscher identifizieren – die Angreifergruppe passte sie offenbar immer wieder an.

Was das Implant machen konnte
War das Implant einmal auf dem iPhone, griff es unter anderem Nachrichtendatenbanken verschlüsselter Chats wie Telegram, WhatsApp sowie Apples iMessages ab und übertrug sie auf einen externen Server. Weiterhin gab es Funktionen zur Übertragung der Kontaktdatenbank, aller enthaltener Fotos sowie wichtiger Tokens wie denen von Google. Inhalte von Skype, Google, Outlook, Facebook und diversen weiteren interessanten Apps konnten abgegriffen werden. Auch Sprachnachrichten und SMS lagen offen, genauso wie die Keychain mit den Passwörtern und WLAN-Zugängen (Schlüsselbund). Weiterhin konnte Beer ein GPS-Tracking durch das Implant nachvollziehen, als er in Amsterdam auf Reisen war.

Immerhin: Dem Sicherheitsforscher zufolge blieb das Implant über Reboots des iPhone hinweg nicht erhalten; um es erneut auf das Gerät zu spielen, müsse eine infizierte Website ein zweites Mal besucht werden. Aufgrund der Breite der Informationen, die exfiltriert werden konnten, darunter besagte Token aus dem iPhone-Schlüsselbund, sei jedoch mit einem "persistenten Zugriff" auf Inhalte der Nutzer zu rechnen. Hinzu kommt, dass iPhone-Nutzer ihr Gerät üblicherweise vergleichsweise selten neu starten.

Welchem konkreten Zweck der Angriff diente, wurde bislang noch nicht bekannt. Beer betonte aber, dass es "keinerlei Diskriminierung der Ziele" gegeben habe – es reichte stets aus, bestimmte Websites zu besuchen. Sein Team schätze, dass diese "Tausende Besucher pro Woche" gehabt hätten. Beer sagte weiter, es handele sich offenbar um eine Gruppe, die sich fortgesetzt darum bemühe, "die iPhones bestimmter Gemeinschaften" über einen Zeitraum von mindestens zwei Jahren zu hacken.

Quelle: iPhones über Jahre mit bösartigen Implants infiziert | heise online

Großer iPhone-Angriff richtete sich angeblich gegen uigurische Muslime

Eine von Google entdeckte Hack-Kampagne, die iOS-Zerodays nutzte, richtete sich angeblich gegen Personen in der chinesischen Provinz Xinjiang, so ein US-Medium.

Eine spektakuläre Angriffswelle gegen Apple-Geräte soll ihren Ausgangspunkt in China haben. Das berichtet das IT-Blog TechCrunch unter Berufung auf informierte Kreise. Ziel der Kampagne seien uigurische Muslime gewesen, die in der chinesischen Provinz Xinjiang leben.

Ausgefeilte Exploit-Chains
Googles Sicherheitslabor Project Zero hatte zuvor aufgedeckt, dass über mehrere ausgefeilte Exploit-Chains mindestens zwei Jahre lang iPhones tausender Nutzer gehackt worden waren – verwendet wurden dabei von Apple ungepatchte Lücken (Zerodays), die in iOS 10, 11 und 12 steckten. Dabei soll es ausgereicht haben, bestimmte Websites zu besuchen, um sich ein sogenanntes Implant mit Schadcode einzufangen, das auf dem Gerät dann nahezu freie Hand hatte. So wurden etwa verschlüsselte Chats, SMS, Fotos und Inhalte bekannter Apps abgesaugt, zudem war ein GPS-Tracking möglich.

Versuche der Handy-Überwachung in Xinjiang mittels Schadcode waren bereits zuvor bekannt geworden – allerdings hatten sich diese nach früheren Erkenntnissen vor allem gegen Android-Nutzer gerichtet. Chinesische Zollbeamte sollen etwa Malware auf Geräte beim Grenzübertritt aufgespielt haben. Zudem gab es Durchsuchungen von iPhones mit spezieller Hardware. iOS-Angriffe per Drive-by-Download sind dagegen eine neue Dimension.

Google nannte Urheber nicht
Das Project Zero von Google hatte zuvor keine Angaben über die Herkunft der Angriffe gemacht. Beobachter hatten jedoch spekuliert, dass es sich aufgrund der Breite der Maßnahme wohl um einen "state-sponsored actor", also eine staatliche finanzierte Gruppierung, gehandelt haben könnte. iPhone-Exploits sind auf dem Sicherheitsmarkt sehr teuer, weshalb bislang die Ansicht galt, dass Massenangriffe auf diese Geräte nicht vorgenommen werden; stattdessen galten gezielte Überwachungsmaßnahmen als realistischer, etwa gegen bestimmte Dissidenten. Die Exploit-Kampagne, die mehrere solcher Lücken geschickt kombinierte, zeigt nun, dass dem offenbar nicht so ist – zumindest, wenn der Angreifer über ausreichende Mittel verfügt.

Apple hatte mehrere der Lücken – andere waren zuvor gepatcht worden – innerhalb kurzer Zeit im Februar 2019 mit iOS 12.1.4 behoben, nachdem der Konzern von Google informiert worden war. Neben TechCrunch berichtete auch das US-Wirtschaftsmagazine Forbes, dass sich die Kampagne gegen Uiguren richtete. Dort hieß es, die Websites, die den Schadcode vertrieben, hätten auch Android- und Windows-Geräte angegriffen. Angeblich sollen die Opfer mit einem Trick dazu gebracht worden sein, einen Link zu öffnen. Betroffen waren demnach sowohl Bewohner von Xinjiang als auch Menschen in der uigurischen Diaspora.

Seiten im Google-Index
TechCrunch zufolge tauchten die Seiten im Google-Index auf, weshalb User auch von Außen auf sie gelenkt wurden und deshalb nicht nur Uiguren betroffen gewesen sein könnten. Die US-Bundespolizeibehörde FBI soll den Suchriesen darauf aufmerksam gemacht haben. Google wollte den Bericht nicht kommentieren. Ian Beer von Project Zero hatte zuvor mitgeteilt, dass es bei dem Angriff "keinerlei Diskriminierung der Ziele" gegeben habe.

In seiner ausführlichen Analyse hatte der Sicherheitsforscher auch erwähnt, dass im Schadcode einige Details steckten, die eher laienhaft waren. So soll die Übertragung der Daten vom iPhone ohne HTTPS-Verschlüsselung erfolgt sein und die IP-Adressen der Server, an die sie zu gehen hatten, waren hart codiert, konnten also nicht gewechselt werden.

Quelle: Großer iPhone-Angriff richtete sich angeblich gegen uigurische Muslime | heise online

iOS-Sicherheitslücke: Apple reagiert auf Vorwürfe seitens Google

Apple reagiert auf die Vorwürfe seitens Google, das zuvor bekanntgab, im Rahmen seines Project-Zero-Programms eine schwerwiegende Sicherheitslücke in iOS entdeckt zu haben. Diese habe mutmaßlichen staatlichen Hackern erlaubt, zwei Jahre lang massenhaft Smartphones und Tablets mit iOS zu überwachen.

...

...

Google bleibt bei seiner Aussage
Googles Sicherheitsforscher der Threat Analysis Group (TAG) haben bereits auf Apples Statement reagiert und bleiben weiterhin bei ihren Aussagen. Die Entwickler freuen sich aber mit Apple zusammenzuarbeiten und iOS zukünftig zu einem sicheren Betriebssystem zu machen, so der vorerst letzte Seitenhieb von Google in Richtung Apple.

Thomas Reed von Malwarebytes hat auch dazu eine klare Meinung und wirft Apple vor, das Problem zu verharmlosen. Der Apple- und Sicherheitsexperte wünscht sich, dass das Unternehmen zukünftig offener und transparenter mit der Sicherheits-Community umgeht.

"Apple’s statement makes the same mistake Apple always makes: downplaying security issues on their platforms and the existence of malware on them. I really wish that Apple would start being more open and honest with the security community.https://t.co/l76U4jV9wl
— Thomas Reed (@thomasareed) September 7, 2019"

Quelle: iOS-Sicherheitslücke: Apple reagiert auf Vorwürfe seitens Google - ComputerBase