Drei Sicherheitsforscher aus dem US-Bundesstaat Georgia haben auf der Konferenz Black Hat USA 2013 gezeigt, wie sie in weniger als 60 Sekunden die Kontrolle über ein iPhone oder iPad übernehmen können. Mithilfe eines manipulierten Ladegeräts können sie Malware einschleusen, die als gewöhnliche App getarnt ist.
Bisher war nur bekannt, dass der Angriff an sich möglich ist. Während ihrer Präsentation demonstrierten Billy Lau, Yeongjin Jang und Chengyu Song ihre Methode erstmals in der Praxis. Das manipulierte „Ladegerät“ basiert auf einem BeagleBoard, einem Einplatinenrechner ähnlich dem britischen Raspberry Pi. Als Anwendung für das Einschleusen der Malware benutzten sie die Facebook-App.
Nach dem Anschluss an ein iPhone entfernt ihr „Mactans“ genannter Ladegerät-Computer die bereits installierte Facebook-App unbemerkt und ersetzt sie nahtlos durch eine manipulierte Version mit integrierter Schadfunktion. Das App-Symbol befindet sich danach weiterhin an derselben Stelle, was es einem Nutzer unmöglich macht, die Manipulation zu erkennen.
Die Schadsoftware startet den Forschern zufolge automatisch bei der nächsten Eingabe des Gerätepassworts. Sie übernehme die Kontrolle über das iPhone oder iPad und sei beispielsweise in der Lage, Passwörter auszuspähen und private Daten auszulesen. Die Schwachstelle stecke in iOS bis einschließlich Version 6 sowie einer Vorabversion von iOS 7.
Das Mactans-Ladegerät arbeitet mit einem Linux-Betriebssystem. Es wurde nach Angaben der Forscher mit einem geringen finanziellen Aufwand und in sehr kurzer Zeit entwickelt. „Es kann zu einem Spionagewerkzeug werden“, sagte Lau.
Apple teilte inzwischen mit, dass es die Lücke in der Final von iOS 7 schließen wird. Der Fehler sei sogar schon in der aktuellen Beta 4 von iOS 7 korrigiert. „Wir möchten den Forschern für ihren wertvollen Beitrag danken“, zitiert Reuters den Apple-Sprecher Tom Neumayr. Ob Apple auch ein Update für iOS 6 bereitstellen wird, ist noch unklar.
[mit Material von Steven Musil, News.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
