iPhone Zero Days - Infektion per Webseite

iPhone-Besitzer waren zuletzt möglicherweise Opfer eines Massenhacks (Bildquelle: Apple)

Die Zero Day Exploits bei iPhones waren bisher eher eine theoretische Möglichkeit, die Smartphones von Apple mit Spionage-Software zu infizieren. Doch Googles Project Zero hat eine Masseninfektion dokumentiert.

Anscheinend reichte der Besuch einer entsprechend präparierten Webseite und das iPhone war mit Spionage-Software infiziert.

Bluetooth - Design-Fehler im Protokoll erlaubt einfachen Angriff

Jeder iPhone-Nutzer hätte Opfer des Hacks über die speziell präparierte Webseite werden können. Google-Mitarbeiter hatten ihre Geräte dort problemlos infiziert. Die Seiten waren dabei vor ihrer Entdeckung allgemein zugänglich und hatten sogar nennenswerten Google-Traffic.

Die Angriffe gingen gezielt gegen iPhones, prinzipiell kann es Android-Smartphones oder Windows-Geräten aber genauso ergehen.

Neue iPhones mit A12/A12X-CPU waren (noch) nicht betroffen

Nicht bekannt ist, wie viele Nutzer genau betroffen waren, aber anhand der Google-Daten scheint es sich um bestimmte Communities der Uiguren, einer ethnischen Gruppe im Xinjiang-Gebiet Chinas gehandelt zu haben, gegen die die Spionage-Angriffe gerichtet waren.

Angreifer mit reichlich finanziellen Mitteln?

Aufgrund der Komplexität des Angriffs mit mehreren infizierten Webseiten, die iPhones der Besucher unbemerkt infizieren konnten, ist davon auszugehen, dass die Drahtzieher des Angriffs über beträchtliche finanzielle Mittel verfügten.

Denn entsprechende Sicherheitslücken sind viel Geld Wert - für den Entdecker, der sie nicht öffentlich macht, sondern interessierten Kreisen verkauft - diese wiederum benötigen viel Geld, um sich das Wissen über entsprechende, unentdeckte Lücken zu kaufen.

Bisher war man davon ausgegangen, dass (potenzielle) Massenhacks für iPhones nicht für Normalbürger verwendet würden, weil sie einfach zu teuer dafür sind.

Apple - Spezielles iPhone und bis zu 1,5 Millionen Dollar für das Finden von Sicherheitslücken

Gerade deshalb hatte Apple vor kurzem eine offenere Version des iPhones für Forscher herausgebracht, um tiefsitzende Sicherheitslücken zu finden.

Hacks gegen iPhones sind sehr selten

Die Sicherheitslücken, die für den Angriff genutzt wurde, wurde von Apple nach einem Hinweis von Google bereits geschlossen.

Interessant ist, dass die eingesetzten Trojaner nicht dauerhaft auf den iPhones verblieben. Nach einem Reboot war die Infektion bereits wieder beseitigt - allerdings wurden vorher persönliche Daten inklusiver Passwörter und Zugangs-Token der Geräte respektive deren Nutzer versendet.

Apple wehrt sich

Apple selbst behauptet, dass der Angriff auf weniger als zwölf Internetseiten zum Einsatz kam und nur zwei Monate angedauert habe, statt der zwei Jahre, die Google nennt. Ebenso sei es kein Massenhack gewesen, sondern ein gezielter Hack.

Aus dem Apple-Statement zum »Massenhack«

Dass die Sicherheit der Nutzer an hoher Stelle steht, betont Apple, daher seien die Sicherheitslücken auch bereits behoben und Googles Veröffentlichung sei erst sechs Monate nach dem entsprechenden Sicherheitsupdate erschienen, was ein falsches Bild über die Sicherheit von iPhones vermitteln würde.

Nur zehn Tage nachdem Apple von der Sicherheitslücke gewusst habe, sei diese im Februar 2019 bereits geschlossen worden. Und als Google auf Apple zukam, sei der Sicherheits-Patch bereits in Arbeit gewesen.