Beeindruckende Attacke: Kaspersky veröffentlicht Details zur Triangulation-Schwachstelle
Es ist ein Meisterwerk der Softwareentwicklung, programmiert für einen finsteren Zweck: Dem unbemerkten Ausspähen von iPhones. Über eine iMessage-Nachricht mit präpariertem PDF schleust sich Schadcode auf ein iPhone und nistet sich in undokumentierten Bereichen des ARM-Chips ein. Nach der Infektion überprüft der Trojaner mehrfach, ob er auf dem richtigen Gerät ist, bevor er mit der Überwachung beginnt. Nebenbei verwischt er die Spuren seines Eindringens und geht auf Schleichfahrt, sobald Software zur Trojanererkennung auf ihn angesetzt wird.
Der Code schreibt sich niemals in den persistenten Speicher des Apple-Geräts. Ein Neustart entfernt den Überwachungscode, der sich mit einer Handvoll URLs verbindet und eine Menge an Informationen sendet. Sechs bisher unbekannte Sicherheitslücken nutzt diese Infektionsmethode aus – im iOS-System, in der Spezifikation von ARM-Prozessoren und in Schriftdateien, die eigentlich seit Jahren bekannt und ausgemerzt sind.
Der Ablauf des Angriffs umfasst sechs bisher undokumentierte Lücken (Zero-Days) und mehrere Überprüfungen, ob auch das richtige Opfer ausgespäht wird. (Screenshot 37C3-Vortrag)
Auffälliger Netzwerkverkehr wies den WegAuf dem 37. Chaos Communication Congress präsentierte Boris Larin zusammen mit zwei Kollegen die Sicherheitslücke, die sie im Juni dieses Jahres entdeckt und veröffentlicht haben. Sie arbeiten beim russischen IT-Sicherheitsunternehmen Kaspersky. Dort sind sie dem aktiven Exploit im Januar dieses Jahres durch auffällige Netzwerkaktivität auf die Schliche gekommen. Etwa ein Dutzend iPhones ihrer Angestellten waren infiziert oder wurden wiederholt kompromittiert.
Aufwendige NachforschungenIndem sie firmenintern einen Man-in-the-Middle-Attack auf ihre firmeneigenen iPhones ausführten, konnten sie die Kommunikationsserver ausfindig machen. Nach und nach identifizierten sie sämtliche Komponenten des Angriffs und meldeten die
Schwachstellen im Juni bei Apple und ARM. Gleichzeitig zum Vortrag auf dem 37C3 veröffentliche Kaspersky zudem eine
wissenschaftliche Veröffentlichung mit allen Details ihrer Entdeckung.
Apple schloss eine der dokumentierten Lücken bereits im Januar 2022, in älteren iOS-Versionen allerdings erst nach Kapserskys Veröffentlichung. (Screenshot 37C3-Vortrag)
Wieviel wusste Apple im Voraus?Boris Larin war bereits 2019 auf dem CCC und hat damals vorgeführt, wie sich die
Blu-Ray-Laufwerke in Playstations hacken lassen. Seine Firma analysiere täglich Schwachstellen und deren Ausnutzung. Dies sei bei weitem die raffinierteste, die ihnen bisher untergekommen sei.
Er stellt im Vortrag die Frage, wie viel Apple selbst von den möglichen Einfallstoren im mobilen Betriebssystem wusste. So dokumentiert er die Chronologie der Lücke im TrueType-Schriftformat und weist darauf hin, dass der Programmierfehler seit den Neunzigerjahren bekannt war. Interessanterweise nimmt Apples in iOS 16 eingeführter "
Lockdown Mode" zumindest zwei Punkte der Angriffskette ins Visier: Ein iPhone im Blockierungsmodus zeigt keine PDFs in der Nachrichten-App an und lädt keine Website-spezifischen Schriften im systemeigenen Browser.