Sicherheitslücke: Die Schadsoftware, die auf ausgeschalteten iPhones aktiv ist

Forschern ist es gelungen, eine Schadsoftware auf ausgeschalteten iPhones mit vermeintlich leerem Akku auszuführen. Denn ganz aus sind diese nicht.

Artikel veröffentlicht am 17. Mai 2022, 13:30 Uhr, Moritz Tremmel

Akku leer - Malware läuft trotzdem weiter. (Bild: Kevin Bhagat/Unsplash)

Auch ausgeschaltet sind iPhones nicht ganz aus. Diesen Umstand konnten Sicherheitsforscher des Secure Mobile Networking Lab (Seemoo) der Technischen Universität Darmstadt ausnutzen, um eine Malware auf einem iPhone aktiv zu lassen, das heruntergefahren wurde.

Zwar ist der konkrete Angriff nur akademischer Natur, da ein physischer Zugriff mitsamt einem Jailbreak benötigt wird, doch zeigt er, was beispielsweise mit hochgerüsteter Schadsoftware wie dem Pegasus-Staatstrojaner der NSO Group möglich sein könnte. Zuerst berichtete das Onlinemagazin Ars Technica.

Ein vollständig heruntergefahrenes iPhone läuft in einem Energiesparmodus weiter, mit welchem beispielsweise verlorene Geräte weiter über das Find-My-Netzwerk von Apple lokalisiert werden können. Auch kann das Gerät weiter als Kreditkarte oder Autoschlüssel verwendet werden. Die Sicherheitsforscher haben nun einen Weg gefunden, diesen Low-Power-Modus (LPM) oder Always-on-Mechanismus auszunutzen, der auch aktiv ist, wenn sich das iPhone wegen eines fast leeren Akkus automatisch heruntergefahren hat.

Damit Find My weiterhin funktionieren kann, muss der Bluetooth-Chip aktiv sein. Dessen Firmware ist jedoch nicht durch eine Signatur gesichert. Entsprechend konnten die Forscher eine modifizierte Firmware ausführen, die es Angreifern beispielsweise ermöglicht, den Standort eines iPhones auch im ausgeschalteten Zustand zu verfolgen.

System-Updates helfen nicht weiter

"Das Design der LPM-Funktionen scheint hauptsächlich von der Funktionalität bestimmt zu sein, ohne Bedrohungen außerhalb der beabsichtigten Anwendungen zu berücksichtigen. Find My verwandelt abgeschaltete iPhones per Design in Ortungsgeräte, und die Implementierung innerhalb der Bluetooth-Firmware ist nicht gegen Manipulation gesichert", fassen die Forscher die Bedrohungslage in ihrem Forschungspapier zusammen.

Da die LPM-Unterstützung auf der Hardware des iPhones basiere, könne sie nicht per System-Updates entfernt werden, so die Forscher. Das wirke sich nachhaltig auf das gesamte iOS-Sicherheitsmodell aus. Den Test mit einer modifizierten Firmware haben die Forscher mit iOS 14.8 durchgeführt, da für iOS 15.2 noch kein Jailbreak zur Verfügung stand.