Quadream: Spyware knackte iPhones von Oppositionellen über Einladungen

Der israelische Spyware-Anbieter Quadream ermöglicht es, mit Kalendereinladungen iPhones zu hacken. Das haben einige Regierungen ausgenutzt.

Artikel veröffentlicht am 12. April 2023, 19:30 Uhr, Andreas Donath

Werde ich am iPhone gehackt? (Symbolbild) (Bild: Pexels)

Forscher von Microsoft und dem Citizen Lab der Universität Toronto haben herausgefunden, dass Quadream, ein kaum bekannter israelischer Spyware-Anbieter, ein Tool entwickelt hat, das Kalendereinladungen mit Schadcode für iOS 14 nutzte. Damit wurden nach zwei Berichten die iPhones von Journalisten, politischen Oppositionellen und einem NGO-Mitarbeiter gehackt.

Quadream entwickelt nach einem Bericht von Techcrunch Zero-Click-Exploits. Das sind Hacking-Tools, bei denen die Zielperson nicht auf bösartige Links klicken muss.

Im Jahr 2021 berichtete die israelische Zeitung Haaretz, dass Quadream seine Produkte an Saudi-Arabien verkaufte, während Reuters Anfang 2022 berichtete, dass das Unternehmen einen iPhone-Exploit verkaufte, der dem der Spyware Pegasus der NSO Group ähnelte. Es wird vermutet, dass das Unternehmen auch in andere Länder wie Bulgarien, die Tschechische Republik, Ungarn, Rumänien, Ghana, Israel, Mexiko, Singapur, die Vereinigten Arabischen Emirate und Usbekistan verkauft.

Forensische Spuren trotz Kalendereinladung ohne Benachrichtigung

Sowohl Citizen Lab als auch Microsoft haben technische Details über die Spyware von Quadream veröffentlicht. Microsoft fand die ursprünglichen Malware-Samples und teilte sie mit den Forschern von Citizen Lab, die mehr als fünf Opfer identifizieren konnten. Die mit dem Quadream-Exploit ausgerüsteten Regierungshacker verwendeten Kalendereinladungen mit Daten aus der Vergangenheit, um die Malware zu verbreiten. Die Einladungen lösten keine Benachrichtigung auf dem Telefon aus, so dass sie für die Zielperson nicht sichtbar waren.

Die Forscher von Citizen Lab erklärten, dass die Malware Spuren hinterlässt, die es ihnen ermöglichten, die Spyware von Quadream zu verfolgen. Die Details wollen sie nicht preisgeben, um die Fähigkeit zu bewahren, die Malware zu verfolgen. Die Forscher nannten die Spuren der Malware den Ektoplasma-Faktor.

Quadream nutzt ein in Zypern ansässiges Unternehmen namens Inreach, um seine Produkte zu verkaufen. Eine Quelle, die in der Spyware-Branche tätig ist, bestätigte TechCrunch, dass Quadream das Firmenkonstrukt mit Inreach benutzt, um die israelische Export-Aufsichtsbehörde zu umgehen.