Google: Modifizierte Webseiten konnten iPhone-Nutzer ausspionieren

Wenn es um das Aufspüren von Sicherheitslücken geht, ist Googles Project Zero immer vorne mit dabei und so hat das Sicherheits-Team bereits einige Angriffspunkte entdeckt, bevor diese von Hackern ausgenutzt werden konnten. Beim jüngsten Fund handelt es sich jedoch nicht um eine brandaktuelle Schwachstelle, sondern um (mittlerweile behobene) Sicherheitslücken, die es speziellen Webseiten über Jahre hinweg erlaubten, iPhone-Nutzer auszuspionieren.

Insgesamt 5 Schwachstellenarten

Ein neuer Bericht von Vice beschreibt die Entdeckung der Sicherheitsforscher, die „einen der größten Angriffe auf iPhone-Nutzer aller Zeiten darstellen könnte“. Die Grundlage der Angriffe sind gehackte Webseiten, die Malware an iPhone-Nutzer verteilten. In einem Blogbeitrag erklärt Ian Beer von Project Zero, dass es sich bei dieser Serie von Angriffen um eine „kleine Anzahl“ von Webseiten handelt, die angeblich Tausende von Aufrufen pro Woche erhalten. Diese versuchten innerhalb der letzten Jahre Sicherheitslücken auszunutzen, um schadhaften Code auf dem iPhone zu installieren.

Project Zero erkannte eine Reihe von fünf separaten iPhone Exploit-Ketten, die je nach Schadcode bei iOS 10 bis iOS 12 Wirkung zeigten. „Dies deutet darauf hin, dass eine Gruppe, die sich nachhaltig bemüht, die Nutzer von iPhones in bestimmten Communities über einen Zeitraum von mindestens zwei Jahren zu hacken“, erklärt Beer. Sobald ein Benutzer eine der schädlichen Webseiten besuchte und die Malware eingesetzt wurde, konzentrierte sich der Code „in erster Linie auf das Stehlen von Dateien und das Hochladen von Live-Standortdaten“. Da das Endgerät selbst kompromittiert war, waren auch Dienste wie iMessage betroffen. Nach einem Neustart des iPhones wurde der Code zwar entfernt, Beer merkt jedoch an, dass vorher möglicherweise ein Angreifer bereits „den dauerhaften Zugriff auf verschiedene Konten und Dienste“ erhalten konnte.

Den Großteil der Schwachstellen hatte Apple bereits mit neueren iOS-Versionen behoben. Wie Beer erklärt, hat man Apple die Probleme am 1. Februar 2019 gemeldet, woraufhin die restlichen Lücken mit der Veröffentlichung von iOS 12.1.4 am 9. Februar 2019 geschlossen wurden.