iOS jahrelang über drei jetzt entdeckte Sicherheitslücken angreifbar

Über drei nun vom Citizen Lab der kanadischen University of Toronto und dem IT-Sicherheitsanbieter Lookout entdeckte Sicherheitslücken konnten Nutzer eines iPhones seit Jahren ausgespäht werden. Exploits, die sich die Schwachstellen zunutze machten, wurden den Erkenntnissen der Forscher zufolge von mehreren staatlichen Einrichtungen genutzt, um sich gezielt Zugriff auf Smartphones zu verschaffen, ohne dass deren Nutzer dies bemerken.

Nachdem Apple die Lücken mit der iOS-Version 9.3.5 behoben hat, informierten deren Entdecker die Öffentlichkeit. Nutzer sollten daher umgehend auf die aktuellste Version von Apples Mobilbetriebssystem umsteigen.

Die als “Pegasus” bezeichnete Malware, die die Lücken ausnutzte, wurde einer Code-Analyse zufolge schon seit iOS 7 verwendet. Pegasus ist modular aufgebaut und nutzt starke Verschlüsselung, um sich vor einer Entdeckung zu schützen und ist in hohem Maße konfigurierbar. Die Software kann verwendet werden, um unter anderem auf Nachrichten, Anrufe, E-Mails, Protokolldateien von Apps zuzugreifen. Die Malware scheint auch nach einem Update des Betriebssystems auf dem Gerät zu verbleiben und kann sich selbst aktualisieren, um neue Exploits zu nutzen.

Eingesetzt wurde die Spyware unter anderem von den Vereinigten Arabischen Emirate (VAE), die damit versuchten den Regierungskritiker Ahmed Mansoor auszuspähen. Da der Menschenrechtler bereits früher Ziel ähnlicher Angriffe mit Regierungstrojanern war wurde er misstrauisch, als er Textnachrichten mit Links erhielt, in denen ihm Enthüllungen zu Personen versprochen wurden, die in den Gefängnissen des Landes gefoltert wurden.

Mansoor schickte Screenshots und die URL an Forscher des Citizen Lab. Sie öffneten die URL mit einem auf den Werkszustand zurückgesetzten iPhone 5, das mit iOS 9.3.3 lief. Daraufhin öffnete sich eine leere Seite, die sich rund zehn Sekunden später wieder schloss. In der Zeit lief im Hintergrund der Angriff ab.

Für ihn wurde zuerst eine Lücke in der Safari-Engine WebKit und dann ein Fehler im Kernelschutz ausgenutzt, um schließlich mittels eines Fehlers im Kernelspeicher das Mobiltelefon mit einem Jailbreak zu entsperren. Damit erlangt die Malware Root-Rechte und kann das Gerät vom Nutzer unbemerkt übernehmen.

Die Software wurde den Sicherheitsforscher zufolge vom israelische Start-up NSO Group entwickelt, das 2010 von einer US-amerikanischen Investmentfirma übernommen wurde. Citizen Lab fand Hinweise darauf, dass die Spyware von NSO auch in Kenia sowie gegen einen mexikanischen Journalisten verwendet wurde, der über die Verwicklung des Staatschefs in eine Korruptionsaffäre berichtete.

NSO erklärt, seine Software ausschließlich an Regierungen zu verkaufen und von den Angriffen auf Menschenrechtler und Journalisten nichts zu wissen. Die technischen Details der Pegasus-Spyware hat Lookout in einem ausführlichen Bericht dokumentiert.

[mit Material von Bernd Kling, ZDNet.de]