Das IT-Forschungsteam der Microsoft Threat Intelligence hat einen Bericht veröffentlicht, indem es um eine Malware-Variante geht, die iPhones infiziert. Augenscheinlich stehen die Angriffe mit der isrealischen Firma QuaDream im Zusammenhang. Inzwischen sind auch erste Fälle in Europa bekannt. Während man zunächst davon ausging, dass nur iOS 14-Handys betroffen sein, sind nun auch jüngere Betriebssysteme angreifbar.
iOS-Malware als Produkt zum Verkauf
Die iOS-Malware, die von Microsoft unter der Kennung DEV-0196 untersucht wird, hat den Namen KingsPawn erhalten. Die Schadsoftware wurde so konstruiert, dass sie sensible Daten von betroffenen Handys stehlen oder abfangen kann. Bisherige Opfer waren neben Unternehmen auch Einzelpersonen, darunter Journalist*innen, politische Oppositionelle und weitere, wie zusätzlich Citizen Lab der Munk School der University of Toronto ermittelte.
Der vermutete Strippenzieher, QuaDream, wird von Microsoft als Offensivakteur des privaten Sektors eingeordnet, kurz auch PSOA (private sector offensive actor).
„PSOAs, die Microsoft auch als Cyber-Söldner bezeichnet, verkaufen Hacking-Tools oder -Dienste über eine Vielzahl von Geschäftsmodellen, einschließlich Access as a Service. Bei Access as a Service verkauft der Akteur vollständige End-to-End-Hacking-Tools, die vom Käufer bei Cyberoperationen verwendet werden können. Die PSOA selbst ist nicht an der Ausrichtung oder Durchführung der Operationen beteiligt.“
Microsoft
Die iOS-Malware KingsPawn fällt entsprechend in dieses Raster. So mutmaßen die Expertinnen und Experten, dass ganze Regierungen zu den Abnehmern gehören könnten.
Schadcode funktioniert auf zwei gewiefte Weisen
Besonders perfide, nebst der Tatsache, dass die iOS-Malware augenscheinlich an Interessierte für kriminelle Zwecke vertrieben wird, ist ihre grundsätzliche Funktionsweise. So besteht sie aus zwei Teilen: Zum einen verfügt sie über ein Überwachungssystem, das die Eingaben auf dem Smartphone verfolgen und löschen kann. Zum anderen dient ein Haupt-Malware-Agent für weitere Zwecke.
Etwa ist der Überwachungs-Agent in der Lage, sich im System zu tarnen. Hinterlässt er doch Spuren, löscht er selbstständig die betroffenen Verzeichnisse im iOS-System. Dadurch hebelt KingsPawn auch die Schutzmaßnahmen der Software aus. Das iPhone kann damit etwa keinen Kill-Befehl aussenden, weil die Beweise fehlen, dass es überhaupt eine Bedrohung gibt.
Noch gefährlicher ist jedoch der aktive Haupt-Malware-Agent. Dieser kann auf dem betroffenen iPhone nicht nur Geräteinformationen abrufen, sondern auch Passwörter im iCloud-Schlüsselbund einsehen, den Standort überwachen, Dateiverzeichnisse durchsuchen und sogar Telefonate aufzeichnen. Wessen Handy also mit dieser iOS-Malware infiziert ist, hat keine Privatsphäre mehr.
Diese iOS-Version ist besonders gefährdet
Die Proben, die dem Microsoft Threat Intelligence-Team zur Verfügung standen, stammen alle von iPhones mit iOS 14. Jedoch mutmaßen sie, dass es genauso gut modernere Ableger für neuere Betriebssysteme, etwa iOS 16, geben könnte. Einige Funktionalitäten von KingsPawn ließen sich auch auf Android-Geräten durchführen.
Wer sich schützen will, sollte sich laut Microsoft an die grundlegenden Regeln der Cyber-Hygiene halten. Dazu zählt etwa, keine unbekannten E-Mail-Anhänge zu öffnen oder digitale Kalendereinladungen von Fremden anzunehmen. Dies würde bereits ausreichen, um den Schadcode auf dem iPhone einzuschleusen.
Für eine zusätzliche Absicherung empfehlen die Fachleute einen Virenschutz für das Handy. Zudem gibt es beim iPhone einen Blockierungsmodus, der genau vor diesen Gefahren schützen soll. Diesen findest du unter „Einstellungen“ > „Datenschutz und Sicherheit“ > „Sicherheit“ > „Blockierungsmodus“. Beachte jedoch, dass etliche Dienste abgeschaltet werden, sobald du ihn aktivierst. Alle Informationen dazu hat Apple hier übersichtlich zusammengefasst.
Quelle: Microsoft Thread Intelligence, Apple, Citizen Lab
Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.