Anfang des Jahres fand Google diverse Sicherheitslücken in iOS, welche auf fast allen Betriebssystemversionen und iPhone-Generationen aktiv ausgenutzt wurden. Es könnte sich hierbei um die größte Malware-Attack auf Apples iOS-Geräte handeln – der Besuch einer infizierten Webseite reichte für die Attacken aus, um fast ungehinderten Zugriff auf das Gerät und die Daten des Nutzers zu erhalten. Google meldete die Sicherheitslücken am 1. Februar 2019 an Apple – mit iOS 12.1.4 wurden sieben Tage später die bis dahin verbliebenen Lücken gestopft.


Hauptsächlich wurden die Lücken für den Diebstahl von Dateien wie auch für die Ortung der Geräte ausgenutzt – manche Malware sendete jede Minute den Standort des Nutzers zu den Hackern. Auch soll die Malware den Schlüssenbund der Nutzer ausgelesen haben, worin alle gespeicherten Nutzernamen und Passwörter für Dienste zu finden sind. Noch ist nicht öffentlich geworden, ob solche Datensätze bereits zum Kauf angeboten wurden.

Alle Angriffe hatten wohl gemeinsam, dass diese einen Neustart des Gerätes nicht überstehen – danach ist das Gerät bis zum erneuten Besuch einer infizierten Webseite wieder virenfrei. Es ist nicht bekannt, welche Webseiten den Schadcode auslieferten oder aktiv ausliefern – laut Google soll es sich aber um stark frequentierte Webseiten handeln.


Insgesamt 5 Schwachstellenarten
Project Zero hat insgesamt fünf verschiedene Angriffsvektoren ausgemacht. Bei den ersten beiden Schwachstellen handelt es sich um Lücken um Kernel, wobei die erste sich eine Schwachstelle im Grafikkartentreiber zu Nutze macht und die zweite einen Fehler in IOKit ausnutzt. Beide Lücken funktionieren nur in iOS 10 – iOS 11 behebt die Schwachstellen verlässlich.

Die dritte Schwachstelle funktioniert bis iOS 11.4 und bis zum iPhone X – der Programmierfehler ist allerdings ein sehr ärgerlicher: In der Programmierbibliothek, welche für die Kommunikation von Prozessen untereinander verantwortlich ist ("libxpc"), wurde mit iOS 11 eine Sicherheitsabfrage fast völlig außer kraft gesetzt: Statt eines Tests, ob sich ein Zugriff innerhalb eines Speicherbereichs befindet, wurde nur noch getestet, ob der Speicherzugriff genau nach dem Ende des Speicherbereichs liegt. Auch Google fragt sich in der Beschreibung des Fehlers, wie ein solcher Mangel in einer derart sicherheitskritischen Komponente die internen Tests bei Apple bestehen konnte.

Sicherheitslücke 4 und 5 funktionieren bis iOS 12.1 auf allen iPhone-Modellen. Die Lücke Nummer 4 macht sich ebenfalls einen Sicherheitsmangel bei der Kommunikation von Prozessen untereinander zunutze. Dadurch ist es möglich, Speicherblöcke zu bewegen, obwohl diese dem ausführenden Prozess gar nicht zugeordnet sind. Schwachstelle Nummer 5 fußt auf ein fehlgeschlagenes Experiment, welches Apple wohl während der Entwicklung von iOS 8 durchführte: Aus einem nicht bekannten Grund finden sich Code-Bestandteile einer nicht fertigen Implementierung in den finalen Versionen wieder, welche niemals funktioniert haben – aber dennoch mit ausgeliefert wurden. Apple hat diese wohl übersehen und auch niemals bei Sicherheitstests mit einbezogen – dann wäre die hier ausgenutzte Schwachstelle im unfertigen Code schnell ans Tageslicht gekommen.