iOS 9.3.5: Sicherheitslücken wurden für Spionage-App ausgenutzt
Marco Jahn, den 26. August 2016
Gestern Abend hat Apple iOS 9.3.5 veröffentlicht und Nutzer darum gebeten, ihre Geräte zu aktualisieren. Jetzt, wo wir wissen, welche Lücken geschlossen wurden und vor allem, wofür sie genutzt wurden, können wir der Empfehlung nur beipflichten. Denn es ist eine Malware im Umlauf, deren Installation durch diese Lücken ermöglicht wird und iPhones ausspioniert.
Drei Sicherheitslücken weniger
Wie Apple inzwischen auf seiner Webseite nachgetragen hat, schließt iOS 9.3.5 drei Sicherheitslücken. Zwei davon sind im Kernel des Betriebssystems, eine weitere in WebKit, dem Render-System für Webseiten. Alle drei Lücken erlauben es einem Angreifer, beliebigen Code auszuführen, der in das System eingeschleust wird. Im Falle der Kernel-Lücken sogar im Kernel-Kontext, d.h. mit vollen Administrator-Rechten.
Einem Bericht der New York Times zufolge wurde zumindest die Sicherheitslücke in WebKit aktiv ausgenutzt. Technisch ließ sich das vermutlich nicht ohne die anderen Lücken realisieren. Denn das Unternehmen „NSO Group“ aus Israel hat eine Software entwickelt, die es erlaubt, sensible Daten auf dem iPhone auszulesen oder mitzuschneiden, beispielsweise Nachrichten, Telefonate oder den aktuellen Ort. Eines der potenziellen Opfer sollte Ahmed Mansoor werden. Er ist ein Menschenrechtsaktivist aus den Vereinigten Arabischen Emiraten. Ihm wurde eine Lockvogel-Nachricht geschickt mit einem Link. Hätte er den Link aufgerufen, wäre besagte Software installiert worden.
Stattdessen wandte er sich an Citizen Lab, die sich den Fall näher angeschaut haben und dabei die Lücken fanden. Sie teilten ihre Erkenntnisse Apple mit, woraus das gestrige Update resultierte. Zac Hall von 9to5mac hat zudem in Erfahrung gebracht, dass iPhones, iPads und der iPod touch seit iOS 7 verwundbar sind. Das bedeutet, dass das iPhone 4 angreifbar ist und bleibt, weil für das erste Retina-iPhone keine Updates mehr erscheinen.
Wer übrigens die Beta-Version von iOS 10 einsetzt, ist ebenfalls geschützt. Fakt ist, dass sich die Lücke nicht mehr ausnutzen lässt – vermutlich ist das Update vergangenen Freitag die dafür verantwortlich.