Drei Sicherheitsforscher aus dem US-Bundesstaat Georgia haben auf der Konferenz Black Hat USA 2013 gezeigt, wie sie in weniger als 60 Sekunden die Kontrolle über ein iPhone oder iPad übernehmen können. Mithilfe eines manipulierten Ladegeräts können sie Malware einschleusen, die als gewöhnliche App getarnt ist.
Bisher war nur bekannt, dass der Angriff an sich möglich ist. Während ihrer Präsentation demonstrierten Billy Lau, Yeongjin Jang und Chengyu Song ihre Methode erstmals in der Praxis. Das manipulierte „Ladegerät“ basiert auf einem BeagleBoard, einem Einplatinenrechner ähnlich dem britischen Raspberry Pi. Als Anwendung für das Einschleusen der Malware benutzten sie die Facebook-App.
Nach dem Anschluss an ein iPhone entfernt ihr „Mactans“ genannter Ladegerät-Computer die bereits installierte Facebook-App unbemerkt und ersetzt sie nahtlos durch eine manipulierte Version mit integrierter Schadfunktion. Das App-Symbol befindet sich danach weiterhin an derselben Stelle, was es einem Nutzer unmöglich macht, die Manipulation zu erkennen.
Die Schadsoftware startet den Forschern zufolge automatisch bei der nächsten Eingabe des Gerätepassworts. Sie übernehme die Kontrolle über das iPhone oder iPad und sei beispielsweise in der Lage, Passwörter auszuspähen und private Daten auszulesen. Die Schwachstelle stecke in iOS bis einschließlich Version 6 sowie einer Vorabversion von iOS 7.
Das Mactans-Ladegerät arbeitet mit einem Linux-Betriebssystem. Es wurde nach Angaben der Forscher mit einem geringen finanziellen Aufwand und in sehr kurzer Zeit entwickelt. „Es kann zu einem Spionagewerkzeug werden“, sagte Lau.
Apple teilte inzwischen mit, dass es die Lücke in der Final von iOS 7 schließen wird. Der Fehler sei sogar schon in der aktuellen Beta 4 von iOS 7 korrigiert. „Wir möchten den Forschern für ihren wertvollen Beitrag danken“, zitiert Reuters den Apple-Sprecher Tom Neumayr. Ob Apple auch ein Update für iOS 6 bereitstellen wird, ist noch unklar.
[mit Material von Steven Musil, News.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…
Das jüngste Update bringt insgesamt zwölf Fixes. Schadcode lässt sich unter Umständen ohne Interaktion mit…
Eine softwarebasierte Workstation soll es Ingenieuren erlauben, sämtliche Steuerungen zentral zu verwalten. Pilotkunde ist Ford.
Kryptodiebstahl und finanzieller Gewinn sind laut ESET-Forschungsbericht die vorrangigen neuen Ziele.
