Forscher der Google Project Zero-Gruppe haben eine Schwachstelle entdeckt, die zu den größten in der Geschichte der iOS-Plattform zählt. Die Schadsoftware nutzte Fehler im mobilen Safari-Webbrowser aus.
Google Project Zero-Experte Ian Beer erklärt alles in seinem Blog. Diesmal musste niemand den Angriffen ausweichen. Es reichte aus, eine infizierte Website zu besuchen, um infiziert zu werden.
Analysten der Threat Analysis Group (TAG) entdeckten schließlich insgesamt fünf verschiedene Fehler, die von iOS 10 bis iOS 12 vorhanden waren. Mit anderen Worten: Angreifer konnten die Schwachstelle mindestens zwei Jahre lang ausnutzen, seit diese Systeme auf dem Markt waren.
Die Malware nutzte ein sehr einfaches Prinzip. Nach dem Besuch der Seite lief im Hintergrund ein Code, der problemlos auf das Gerät übertragen werden konnte. Der Hauptzweck des Programms bestand darin, Dateien zu sammeln und Standortdaten im Minutentakt zu senden. Und da sich das Programm selbst in den Speicher des Geräts kopierte, waren nicht einmal solche iMessages davor sicher.
TAG hat zusammen mit Project Zero insgesamt vierzehn Schwachstellen in fünf kritischen Sicherheitslücken entdeckt. Sieben davon betrafen das mobile Safari in iOS, weitere fünf betrafen den Kernel des Betriebssystems selbst und zwei schafften es sogar, Sandboxing zu umgehen. Zum Zeitpunkt der Entdeckung war keine Schwachstelle behoben.
Experten von Project Zero berichteten darüber Apple machte Fehler und gab ihnen gemäß den Regeln sieben Tage Zeit bis zur Veröffentlichung. Das Unternehmen wurde am 1. Februar benachrichtigt und hat den Fehler in einem am 9. Februar veröffentlichten Update für iOS 12.1.4 behoben.
Die Reihe dieser Sicherheitslücken ist insofern gefährlich, als Angreifer den Code leicht über die betroffenen Websites verbreiten könnten. Da zur Infektion eines Geräts lediglich das Laden einer Website und das Ausführen von Skripts im Hintergrund erforderlich ist, war praktisch jeder gefährdet.
Auf dem englischen Blog der Google Project Zero-Gruppe wird alles technisch erklärt. Der Beitrag enthält eine Fülle von Details und Details. Es ist erstaunlich, wie ein einfacher Webbrowser als Gateway zu Ihrem Gerät fungieren kann. Der Benutzer ist nicht gezwungen, etwas zu installieren.
Daher ist die Sicherheit unserer Geräte nicht auf die leichte Schulter zu nehmen.
Petr Škuta 
David Hanak 
