Malware "Pegasus"
Vorsicht vor dieser Spionage-Software für iPhones!
Eine neu entdeckte Spionage-Software hat sich einen bisher noch nie gesehenen Zugriff auf iPhones und andere Apple-Geräte verschaffen können. Der IT-Sicherheitsfirma Lookout zufolge konnte das Programm dank drei bisher unbekannten Software-Schwachstellen unter anderem Nachrichten und E-Mails mitlesen, Anrufe verfolgen, Passwörter abgreifen, Tonaufnahmen machen und den Aufenthaltsort des Nutzers verfolgen. Nach Erkenntnissen von Experten wurde das Programm auch gegen Menschenrechtler und Journalisten eingesetzt. AppleApple stopfte die Sicherheitslücken im iPhone-System iOS am Donnerstag - rund zwei Wochen nach dem ersten Verdacht. Alles zu Apple auf CIO.de
Es ist beispiellos, dass eine Software zur Überwachung von iPhones mit derartigen Fähigkeiten, die meist nur Geheimdiensten zugeschrieben werden, entdeckt und analysiert werden konnte. Den Experten zufolge steckt hinter dem Programm ein Unternehmen aus Israel, das von einem Finanzinvestor übernommen wurde und als eine Art Cyberwaffen-Händler gelte.
"Ausgeklügeltste Endgerät-Attacke"
Aufgeflogen sei das Schadprogramm, als ein bekannter Menschenrechtler aus den Vereinigten Arabischen Emiraten Verdacht bei einer Nachricht mit einem Link zu angeblichen Informationen über Folter von Häftlingen in dem Land geschöpft habe, hieß es. Statt den Link anzuklicken, habe Ahmed Mansur die Sicherheitsforscher eingeschaltet. Sie gaben dem entdeckten Überwachungsprogramm den Namen "Pegasus".
Foto: simone mescolini - Shutterstock.com
"Pegasus ist die ausgeklügeltste Attacke, die wir je auf einem Endgerät gesehen haben", resümierte Lookout. Das Programm profitiere davon, dass mobile Geräte tief in den Alltag integriert seien. Zudem vereinten sie eine Vielzahl an Informationen wie Passwörter, Fotos, E-Mails, Kontaktlisten, GPS-Standortdaten. Die Spionage-Software sei modular aufgebaut und greife zu Verschlüsselung, um nicht entdeckt zu werden. Lookout lässt iPhone-Nutzer inzwischen mit einer App prüfen, ob ihr Gerät befallen wurde.
Das kanadische Citizen Lab fand auch Hinweise darauf, dass ein mexikanischer Journalist und bisher nicht näher bekannte Zielpersonen in Kenia mit Hilfe von "Pegasus" ausgespäht worden seien. Insgesamt blieb jedoch zunächst unklar, wie breit und wie lange sie eingesetzt worden sein könnte.
Ein Sprecher der aus Urheber vermuteten Firma NSO Group erklärte der "New York Times", man verkaufe nur an Regierungsbehörden und halte sich streng an Ausfuhrbestimmungen. Er wollte keine Angaben dazu machen, ob Software des Unternehmens in den Vereinigten Arabischen Emiraten oder in Mexiko im Einsatz sei.
Wie iPhones geknackt wurden
Lookout analysierte die Attacke gründlich und konnte das Vorgehen von "Pegasus" genau nachvollziehen. So knackte die MalwareMalware iPhones: Alles zu Malware auf CIO.de
- Schritt eins: Über eine Sicherheitslücke in Apples Web-Browser Safari konnte beliebiger Software-Code ausgeführt werden. Die Angreifer nutzten dies aus, um die Angriffs-Elemente von "Pegasus" auf das Gerät zu laden. Um das auszulösen, genügt es, einen präparierten Link anzuklicken. Das einzige ungewöhnliche Verhalten für den Nutzer war, dass sich die Safari-App schloss.
- Schritt zwei: Die inzwischen auf dem Gerät aktive "Pegasus"-Software spürte dank der zweiten Sicherheitslücke das von Apple eigentlich versteckte Herzstück des iPhone-Betriebssystems iOS, den sogenannten Kernel. Er ist ein Schlüsselelement für die Sicherheit der Geräte.
- Schritt drei: Über eine Schwachstelle im Kernel selbst sicherte sich "Pegasus" weitreichenden Zugriff auf das iPhoneiPhone. Das Spionage-Programm führte heimlich einen sogenannten "Jailbreak" durch - so wird der Prozess bezeichnet, bei dem ein iPhone von den von Apple vorgesehenen Einschränkungen befreit wird. Einige Nutzer machen das selbst, um mehr Software installieren und das Gerät freier konfigurieren zu können. Damit fallen aber auch die Hürden für Attacken. So auch hier: Nach dem unerkannten "Jailbreak" konnte "Pegasus" Überwachungs-Software hinzufügen. Alles zu iPhone auf CIO.de
Dämpfer für Apple
Die von Apple veröffentlichte iOS-Version 9.3.5. ist für iPhones, iPad-Tablets und den Multimedia-Player iPod touch gedacht. Für den Konzern ist das Spionageprogramm ein schmerzlicher Dämpfer: Die Sicherheit der Geräte ist ein wichtiger Pfeiler des Apple-Marketings und der Konzern investiert viel in Verschlüsselung und andere Sicherheitsmechanismen. Apple betonte, man empfehle den Nutzern immer, die neueste iOS-Version zu nutzen.
Sogenannte "Zero-Day"-Sicherheitslücken, die dem Anbieter einer Software nicht bekannt sind, werden von Geheimdiensten und kriminellen Hackern genutzt. Auch der Computer-Wurm "Stuxnet", der das iranische Atomprogramm sabotierte, griff mehrere solcher Lücken an. "Zero-Day"-Schwachstellen in iPhones werden teuer gehandelt und können auch eine Million Dollar kosten. Dass "Pegasus" gleich drei von ihnen nutzte, ist deshalb relativ ungewöhnlich. (dpa/sh)
- Offenes Verderben
Öffentliche WLAN-Netzwerke stellen einen verbreiteten Angriffsvektor für Hacker dar, die auf der Suche nach privaten Daten sind. Sie sollten also wenn möglich stets den Umweg über VPN nehmen. Avast Software hat im Vorfeld des Mobile World Congress 2016 ein Experiment dazu am Flughafen von Barcelona durchgeführt. Das Ergebnis: Tausende MWC-Besucher hatten die Gefahr aus Bequemlichkeit ignoriert und ihre Devices und Daten aufs Spiel gesetzt. - Datenverzicht
Wo keine Daten sind, kann auch nichts gestohlen werden, verloren gehen oder missbraucht werden. Die erste Generation von Security-Lösungen für Mobile Devices versuchten die Geräte komplett abzuschirmen, um die Daten zu schützen. Inzwischen wissen wir, dass Device Management alleine nicht genügt. Verschiedene mobile Geräte und Betriebssysteme zu managen, kann dafür sorgen, dass IT-Abteilungen mit Anfragen überhäuft werden. Das wiederum fördert die allgemeine IT-Sicherheit in den betreffenden Unternehmen. Nicht. - Nonstop-No-Go
Ein weiterer Weg, Hacker vor den Kopf zu stoßen: Sorgen Sie dafür, dass Ihre Applikationen möglichst wenig Angriffsfläche bieten. Dazu sollten Sie sicherstellen, dass die Cyber-Bösewichte nicht massig Zeit haben, um einen strategischen Pfad zu Ihrer IP zu finden. Indem Sie dauerhafte Verbindungen gar nicht erst zulassen, machen Sie es den Angreifern schwer. - Vollstreckungsbescheid
Einer der schnellsten und einfachsten Wege, um Kontrolle über mobile Applikationen zu gewinnen: Prüfen Sie Ihre Richtlinien! Jedes Unternehmen sollte über einfach durchsetzbare Richtlinien verfügen, die sowohl den Zugriff der Mitarbeiter auf Mobile Apps als auch den Ressourcen-Zugriff der Applikationen selbst abdeckt. Angestellte, die nur über eine absehbare Zeit im Unternehmen sind, brauchen zum Beispiel keinen Zugriff auf das gesamte Netzwerk - stattdessen sollten sie nur auf die Applikationen zugreifen können, die sie für ihre Aufgaben benötigen. Übergreifende Berechtigungen von Third-Party-Apps sollten übrigens ebenfalls der Kontrolle der IT-Abteilung unterliegen und nicht den Mitarbeitern beziehungsweise Usern. - Schlüssel zum Glück
Security-Entwicklertools sind eine wunderbare Sache, wenn es um den Schutz Ihrer Daten geht. Mit jedem IT-Sicherheits-Layer wird es für die Netzschurken schwieriger, auf die Daten zuzugreifen. Klingt eigentlich logisch, oder? Und trotzdem ist das alles andere als "Business as usual". - Fusionsküche
IT-Sicherheit und der App-Entwicklungsprozess werden immer noch getrennt voneinander betrachtet. Dabei sollte Security längt im gesamten Entwicklungsprozess integriert sein - von den ersten Tests über die eigentliche Produktion bis hin zur Übermittlung an den App Store. Den Aspekt der IT-Sicherheit nicht in den Gesamtprozess mit einzubeziehen, kommt einem gewaltigen Fail gleich. Nur damit Sie Bescheid wissen. - Fremde Federn
Entwickler setzen bei der App-Entwicklung oft auf Komponenten von Dritten - zum Beispiel, wenn es um File-Format-Parsing oder Kompression geht. Diese modularen Bestandteile passen den Apps meist wie ein gut eingetragenes Paar Kampfhandschuhe und es wäre nicht effizient, diese jedesmal neu zu entwerfen. Allerdings sollten Ihre Entwickler in diesem Fall auf jeden Fall überprüfen, dass jede Komponente von Drittherstellern auf dem neuesten Stand ist. Auch nach Release!