Angriff auf iPhones mit MDM-Software

Forscher von Cisco Talos weisen auf eine neue Malware-Kampagne hin, die sich gegen Nutzer von iPhones richtet. Die Angreifer verleiten Benutzer von Apple-Smartphones dazu, eine freie Mobile-Device-Management-Software (MDM) herunterzuladen. Waren sie erfolgreich, erhalten Sie Zugriff auf vertrauliche Informationen der infizierten Geräte wie Telefonnummer, Standort, Kontakte, Fotos, SMS und Chat-Nachrichten.

Das MDM-Paket wurde bisher ausschließlich auf iPhones indischer Nutzer entdeckt. Betroffen waren Anwender mit unterschiedlichen iPhone-Modellen und iOS-Versionen zwischen 10.2.1 und 11.2.6. Zudem soll die Kampagne bereits seit August 2015 aktiv sein. Aufgrund einer geringen Zahl von Betroffenen blieb sie jedoch lange unentdeckt.

Die Schadsoftware erlaubt es den Hintermännern, die vollständige Kontrolle über ein Gerät zu übernehmen. Sie sind also auch in der Lage, gefälschte Versionen von echten Apps zu installieren, um ihre Ziele zu erreichen. Wie die Cyberkriminellen allerdings an die vollständigen Rechte auf iPhones gelangen, konnten die Forscher noch nicht ermitteln. Sie vermuten, dass umfangreiches Social Engineering zum Einsatz kommt.

Unter anderem müssen die Angreifer in einem mehrstufigen Prozess einen Nutzer davon überzeugen, der Installation zusätzlicher Sicherheitszertifikate zuzustimmen. Die gekaperten Geräte sind anschließend einer von insgesamt zwei unterschiedlichen MDM-Lösungen zugeordnet und lassen sich zentral von den Cyberkriminellen verwalten.

Daten stehlen sie offenbar häufig mit der Hilfe gefälschter Apps. Und anderem kommen Fake-Versionen von Telegram und WhatsApp zum Einsatz. Nutzer können offenbar keinen Unterschied zu den echten Apps erkennen. Zusätzlicher Code sorgt jedoch dafür, dass Informationen wie Nachrichten, Fotos und Adressbuch an einen zentralen Befehlsserver geschickt werden.

Zu den Hintermännern der Kampagne ist wenig bekannt. Laut Cisco haben sie jedoch versucht, Spuren zu hinterlassen, die auf eine russische Herkunft verweisen. „Wir gehen davon aus, dass das eine falsche Spur ist.“ Es sei ein Versuch, Spuren zu verwischen und die Suche nach den wirklichen Hintermännern zu erschweren.

Allerdings fanden die Cisco-Forscher auch Hinweise auf einem Gerät, das die Cyberkriminellen für eigene Tests benutzt haben könnten. Dieses Gerät war mit einer Rufnummer von Vodafone Indien registriert, weswegen sie nun die Autoren der Kampagne in dem asiatischen Land vermuten.

Apple ist über die Erkenntnisse der Forscher informiert. Das Unternehmen aus Cupertino hatte zu diesem Zeitpunkt bereits drei für die Angriffe benutzte Zertifikate gesperrt.