Abo
  • Services:
Anzeige
One-Click-Betrug gegen iOS-Nutzer auf einer japanischen Seite
One-Click-Betrug gegen iOS-Nutzer auf einer japanischen Seite (Bild: Symantec)

One-Click-Fraud: Social Engineering mit dem iOS Developer Enterprise Program

One-Click-Betrug gegen iOS-Nutzer auf einer japanischen Seite
One-Click-Betrug gegen iOS-Nutzer auf einer japanischen Seite (Bild: Symantec)

In Japan gibt es derzeit Versuche, iOS-Nutzer anzugreifen. Eine Sicherheitslücke ist nicht betroffen. Die Angreifer setzen stattdessen auf ein Unternehmensangebot von Apple und auf Nutzereingaben. Erfolg hat die One-Click-Fraud-Kampagne allenfalls bei naiven Nutzern.

Symantec berichtet von einem Angriff auf japanische Nutzer mit Hilfe signierter Apps. Diese Apps lassen sich, so sieht es iOS vor, auch außerhalb des App Stores vertreiben. Auch wir haben schon Apps ohne App Store installiert. Diese Funktion ist vor allem für Unternehmenskunden gedacht. Die wollen ihre Anwendungen nicht unbedingt für alle öffentlich im App Store verteilen. Stattdessen wird die App beispielsweise über das Intranet verteilt.

Anzeige

Die Angreifer machen sich diese Funktion nun zunutze, um über Werbeseiten oder auch übernommene Webseiten solche Apps zu verteilen. Diese One-Click-Fraud-Kampagne setzt dabei darauf, den Nutzer zu einem Click zu verleiten, um die Anwendung zu installieren. Laut Symantec ist nicht klar, ob die Angreifer selbst Teil des Enterprise Developer Programs sind, mit dem das möglich ist, oder sie schlicht einen Inhaber angegriffen haben.

Apples iOS fragt den Nutzer mehrfach ab

Die Angreifer setzen auf die Naivität der Nutzer. Ihnen kommt vermutlich der Umstand entgegen, dass sich iOS-Nutzer vergleichsweise sicher fühlen und damit ein geringeres Gefahrenbewusstsein haben. Dass der Angriff überhaupt funktioniert, verwundert dennoch. Bei den Angriffsseiten blendet sich ein Dialog ein, der noch einmal nachfragt, ob die App wirklich installiert werden soll.

Selbst nach der Installation ist es immer noch nicht möglich, die App zu starten. Apples iOS warnt noch einmal davor. Dieses Mal beschwert sich das Betriebssystem über die nichtvertrauenswürdige Software. Es fehlt nämlich das Unternehmenszertifikat, dem zunächst das Vertrauen ausgesprochen werden muss. In Firmen ein üblicher Vorgang.

Nach dem Start behauptet die Software irgendwann, dass der Nutzer ein Abo abgeschlossen hat und fordert diesen zur Zahlung auf. Auch das ist reines Social Engineering der Schadsoftware und kein Ausnutzen von Softwarefehlern.

Trotz der ganzen Hürden scheint sich die Verteilung so weit zu lohnen, dass die Schadsoftware-App einen Kampagnenstatus erreicht hat. Es gibt damit genug Anwender, die darauf hereinfallen.

Rechtsmanagement kann helfen

Das Vorgehen der Angreifer ist damit vergleichbar mit dem, was unter Windows lange verbreitet wird. Ein Großteil der Schadsoftware nutzt auch unter Windows keine Sicherheitslücken mehr aus, sondern nutzt mehr oder weniger gutes Social Engineering. Gegen Social Engineering können sich Unternehmen mit entsprechendem Rechtemanagement noch halbwegs schützen. Der Endanwender kennt aber häufig nicht einmal die Unterscheidung zwischen Standard- und Administrationsrechten.

Ein derartiges Rechtemanagement gibt es für Endanwender unter iOS ohnehin nicht, von den setzbaren Einschränkungen einmal abgesehen. Diese sind aber durchaus nützlich. Bestimmte Aufgaben, die ein Anwender sehr selten macht, sollten über die Restriktionen in iOS abgeschaltet werden. Wer beispielsweise selten Apps den Zugang zum Mikrofon gibt, der kann dies von Anfang an komplett unterbinden und nur bei Bedarf freischalten, auch wenn die Bedienung hakelig ist.

So lässt sich das auch grundsätzlich mit der Installation von Apps handhaben. Doch das dürfte bei den wenigsten Anwendern praxisnah sein.

Ob sich hierbei ein Trend entwickelt, iOS-Anwender mit Enterprise-Apps anzugreifen, lässt sich noch nicht sagen. Stellt sich ein gewisser Erfolg ein, ist mit Nachahmern zu rechnen.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. MedAdvisors GmbH über Academic Work Germany GmbH, Hamburg
  2. Schwarz IT Infrastructure & Operations Services GmbH & Co. KG, Neckarsulm
  3. Computacenter AG & Co. oHG, Berlin, Frankfurt, Ratingen, Stuttgart, München
  4. IKOR Management- und Systemberatung GmbH, deutschlandweit


Anzeige
Top-Angebote
  1. 169,00€ (Vergleichspreis 214€)
  2. 3,36€ (Amazon Plus Produkt: Mindesteinkauf 20€)
  3. 485,00€ (Vergleichspreis 529€)

Folgen Sie uns
       


  1. Wemo

    Belkin erweitert Smart-Home-System um Homekit-Bridge

  2. Digital Paper DPT-RP1

    Sonys neuer E-Paper-Notizblock wird 700 US-Dollar kosten

  3. USB Typ C Alternate Mode

    Thunderbolt-3-Docks von Belkin und Elgato ab Juni

  4. Sphero Lightning McQueen

    Erst macht es Brummbrumm, dann verdreht es die Augen

  5. VLC, Kodi, Popcorn Time

    Mediaplayer können über Untertitel gehackt werden

  6. Engine

    Unity bekommt 400 Millionen US-Dollar Investorengeld

  7. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  8. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  9. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  10. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später
  3. Blackberry Keyone im Hands on Android-Smartphone mit toller Hardware-Tastatur

  1. Re: Warum überhaupt VLC nutzen

    ve2000 | 01:26

  2. Re: Exzessive Nutzung kann sogar ein unerfüllter...

    bombinho | 01:10

  3. Re: War Huawei nicht auch mal ein Billig-"China...

    sofries | 00:37

  4. Alternativen?

    Chrizzl | 00:32

  5. Re: Unix, das Betriebssystem von Entwicklern, für...

    __destruct() | 00:22


  1. 18:10

  2. 10:10

  3. 09:59

  4. 09:00

  5. 18:58

  6. 18:20

  7. 17:59

  8. 17:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel