Apple: App Store zeigt neue Sicherheitsschwächen auf
Der Sicherheitsforscher Alex Kleber hat auffällige Apps im App Store gefunden, die mit Hilfe von Programmiertricks offenbar Apples Sicherheitsüberprüfungen austricksen konnten. Die insgesamt sieben Apps sollen alle vom selben Entwickler in China stammen, der seine Spuren verwischt hat.
Die Apps scheinen zudem Fake-Bewertungen bekommen zu haben. Außerdem laden sie im Hintergrund unnötig viele Daten herunter und zeigen Nutzern Einblendungen an, die sich nicht wegklicken lassen. Auf diesen werden Nutzer beispielsweise dazu aufgefordert, eine neue Version herunterzuladen. Da sich die Benachrichtigungen nicht wegklicken lassen, kann ein Klick auf OK theoretisch ungewünschte Software herunterladen.
Kleber(öffnet im neuen Fenster) fand die Apps PDF Reader for Adobe PDF Files, Word Writer Pro, Screen Recorder, Webcam Expert, Streaming Browser Video Player, PDF Editor for Adobe Files und PDF Reader, die alle vom selben Entwickler stammen sollen. Im App Store sind allerdings unterschiedliche Entwicklerstudios angegeben. PDF Reader for Adobe PDF Files ist die Nummer-1-App in der Rangliste der Education-Apps in den USA.
Parallelen zwischen den Anwendungen
Kleber konnte durch genaue Untersuchung des Quellcodes aber zahlreiche Parallelen zwischen den Apps herausfinden. So verwenden einige Apps einen Bundle Identifier mit dem Namen eines Entwicklers einer der anderen Apps. Außerdem nutzt jede Anwendung dasselbe Passwort, um das JSON zu verschlüsseln.
Der Entwickler der Apps soll Mechanismen eingebaut haben, um maliziöse Mechanismen wie die Einblendung von Werbefenstern während der Prüfung durch Apple abzuschalten. Kleber entdeckte entsprechende Hinweise. Zudem fielen Kleber Muster in den Bewertungen der Apps auf: Alle Fünfsternebewertungen verwenden ähnliche Worte und Satzstrukturen, während schlechte Bewertungen in dieser Hinsicht einzigartig sind.
Apple betont stets, dass Anwendungen für seine iPhones und iPads nur über den App Store heruntergeladen werden könnten, da nur dies sicher sei. In der Vergangenheit gab es allerdings bereits Beispiele dafür, wie Entwickler die Sicherheitsüberprüfungen zumindest für eine Zeit lang austricksen können – etwa indem die App nach dem positiven Review komplett umgebaut wird.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.