• IT-Karriere:
  • Services:

iOS: Schwachstelle erlaubt Installation manipulierter Apps

Vor einer weiteren Angriffsmethode auf iOS warnen Datenexperten. Mit Masque Attack lassen sich manipulierte Apps über bestehende installieren. Grund ist eine unzureichende Zertifikatsprüfung.

Artikel veröffentlicht am , Thorsten Schröder/
Eine neue Malware nutzt eine Schwachstelle in iOS aus.
Eine neue Malware nutzt eine Schwachstelle in iOS aus. (Bild: Apple)

Zum zweiten Mal innerhalb weniger Tage entdeckten Datenexperten eine potenzielle Angriffsmethode für Malware in Apples mobilem Betriebssystem iOS. Die IT-Sicherheitsfirma Fireeye warnt vor einer Infizierung von iPhones oder iPads mit einer Methode namens Masque Attack, die auch ohne Jailbreak funktioniert. Dabei nutzten Angreifer eine Lücke in der Zertifikatsprüfung des mobilen Betriebssystems iOS und ersetzten Original-Apps gezielt durch schädliche Software. Weil solche Applikationen direkt aus dem Internet installiert werden können, halten Experten den Angriff für gefährlicher als die kürzlich entdeckte Malware Wirelurker.

Stellenmarkt
  1. TU Dresden, Dresden
  2. OXFAM Deutschland Shops gGmbH, Berlin

Gmail-Fälschung nach Angry-Bird-Update

Möglich seien die Angriffe, weil iOS keine identischen Zertifikate für Apps mit identischer internen Identifikation erfordert. Angreifer könnten so eine manipulierte Gmail-App erstellen, die den Identifikationsnamen com.google.Gmail enthält, für den Benutzer aber mit vertrauten Namen wie "New Flappy Bird" oder "Angry Bird Update" versehen wird. Diese können mit einem beliebigen Enterprise-Zertifikat signiert werden. Installiert sie ein Anwender und ignoriert dabei sogar die Warnmeldung Untrusted App Developer, wird die Original-App von der manipulierten überschrieben.

"Masque Attacks ist so in der Lage, Original-Apps wie Banking- oder E-Mail-Anwendungen mit Malware über das Internet zu ersetzen", warnten die Sicherheitsexperten von Fireeye in ihrem Blog. Die Apps hätten dabei dieselbe Benutzeroberfläche wie die eigentliche Anwendung. Auf diese Weise könnten sich Angreifer Zugang zu Daten wie Kontoinformationen verschaffen. Die Malware könne sogar lokal gespeicherte Daten der Originalanwendung wie Token oder E-Mails auslesen. Auf Geräten mit Jailbreak könnten manipulierte Apps auch auf das System zugreifen. Entdeckt wurde die Sicherheitslücke laut Fireeye bereits im Juli 2014.

Nur aus vertrauenswürdigen Quellen installieren

Anders als bei der vergangene Woche entdeckten Malware Wirelurker ist bei Masque Attack keine USB-Verbindung zu einem zuvor infizierten Apple-Rechner notwendig. Der Angriff funktioniert auch mit Apps, die direkt über eine Webseite installiert werden können.

Die Datenexperten bei Fireeye raten Anwendern, Apps nur aus vertrauenswürdigen Quellen zu installieren. Bei der Installation sollten sie auch auf mögliche Warnhinweise des Betriebssystems achten und im Zweifel die Einrichtung abbrechen. Unter iOS 7 lassen sich die Signaturen installierter Apps in den Einstellungen unter Profilen einsehen, um zu überprüfen, ob dort nicht vertrauenswürdige Quellen aufgelistet sind. Unter iOS 8 gibt es diesen Eintrag jedoch nicht mehr.

Erst in der vergangenen Woche hatten Sicherheitsexperten vor einer neuen Malware gewarnt, die gezielt die Systeme von Apple angreife. Wirelurker war als die bislang größte Attacke auf die Systeme des US-Konzerns bezeichnet worden. Die Software hatte über den dubiosen chinesischen App Store Maiyadi infizierte Programme auf die Apple-Rechner der Nutzer geladen und sich so Zugang zu über USB angeschlossene iPhones und iPads verschafft.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 27,90€
  2. 349,00€
  3. (u.a. Winkelschleifer GWS 7-125 für 35,99€, Akku Kreissäge GKS 18V-57 für 115,99€ )
  4. (aktuell u. a. Deepcool Castle 240EX Wasserkühlung für 109,90€, Asus VG248QZ LED-Monitor 169...

JanZmus 12. Nov 2014

Stimmt aber nicht. Ja, in der "idealen Welt" vielleicht wird JEDER stutzig und NIEMAND...

RonnyStiftel 11. Nov 2014

Bei der ersten Installation wird man nochmals gesondert darauf hin gewiesen das...

McNau 11. Nov 2014

Natürlich würde ich als Enterprisedeveloper mit hinterlegten validen Kreditkartendaten...

S-Talker 11. Nov 2014

Auch das ist ein Name: Na­me, der Wortart: Substantiv, maskulin Häufigkeit...


Folgen Sie uns
       


Golem.de hackt Wi-Fi-Kameras per Deauth

WLAN-Überwachungskameras lassen sich ganz einfach ausknipsen - Golem.de zeigt, wie.

Golem.de hackt Wi-Fi-Kameras per Deauth Video aufrufen
Autonomes Fahren: Wenn der Wagen das Volk nicht versteht
Autonomes Fahren
Wenn der Wagen das Volk nicht versteht

VW testet in Hamburg das vollautonome Fahren in der Stadt - und das recht erfolgreich, wie eine Probefahrt zeigt. Als größtes Problem erweist sich ausgerechnet die Höflichkeit der Fußgänger.
Ein Bericht von Werner Pluta

  1. Elektroauto Volkswagen ID.3 wird auch in Dresden montiert
  2. Volkswagen ID. Space Vizzion als Elektrokombi vorgestellt
  3. Elektroauto von VW Es hat sich bald ausgegolft

Tesla-Fabrik in Brandenburg: Remote, Germany
Tesla-Fabrik in Brandenburg
Remote, Germany

Elon Musk steht auf Berlin, doch industrielle Großprojekte sind nicht die Stärke der Region. Ausgerechnet in die Nähe der ewigen Flughafen-Baustelle BER will Tesla seine Gigafactory 4 platzieren. Was spricht für und gegen den Standort Berlin/Brandenburg?
Eine Analyse von Dirk Kunde

  1. Gigafactory Tesla soll 4 Milliarden Euro in Brandenburg investieren
  2. 7.000 Arbeitsplätze Tesla will Gigafactory bei Berlin bauen
  3. Irreführende Angaben Wettbewerbszentrale verklagt Tesla wegen Autopilot-Werbung

Mi Note 10 im Hands on: Fünf Kameras, die sich lohnen
Mi Note 10 im Hands on
Fünf Kameras, die sich lohnen

Mit dem Mi Note 10 versucht Xiaomi, der Variabilität von Huaweis Vierfachkameras noch eins draufzusetzen - mit Erfolg: Die Fünffachkamera bietet in fast jeder Situation ein passendes Objektiv, auch die Bildqualität kann sich sehen lassen. Der Preis dafür ist ein recht hohes Gewicht.
Ein Hands on von Tobias Költzsch

  1. Sicherheitslücke Forscherin kann smarte Futterstationen von Xiaomi übernehmen
  2. Mi 9 Lite Xiaomi bringt Smartphone mit Dreifachkamera für 300 Euro
  3. Mi Smart Band 4 Xiaomis neues Fitness-Armband kostet 35 Euro

    •  /