Masque-Attack-Bug: Apple sieht nur wenig Gefahr

Apple hat eine Stellungnahme zu der als Masque-Attack-Bug bekannt gewordenen Sicherheitslücke abgegeben. Darin heißt es, das Mobilbetriebssystem iOS verfüge über integrierte Schutzfunktionen, die schädliche Downloads verhinderten. Das funktioniere auch im Fall dieser Sicherheitslücke, die es Hackern laut dem Unternehmen Fireeye unter Umständen ermöglicht, legitime Apps durch gefälschte Software zu ersetzen.

Das Sicherheitsunternehmen hatte vor wenigen Tagen Details zu der Schwachstelle bekannt gemacht. Sie steckt in iOS 7.1.1, 7.1.2, 8.0, 8.1 und auch Version 8.1.1 Beta steckt. Ein Angreifer müssen einen Nutzer lediglich dazu verleiten, auf einen Link in einer E-Mail oder Textnachricht zu klicken, um ihn auf eine Seite mit dem App-Download zu locken. Eine gefälschte App, die eine legitime Anwendung auf einem iOS-Gerät ersetzt, könne nicht nur deren Funktionen übernehmen, sondern auch auf alle von ihr gespeicherten Daten zugreifen, darunter E-Mails oder auch Log-in-Tokens. Das erlaube es Hackern, sich direkt bei einem Konto eines Opfers anzumelden. Laut FireEye ist der Fehler Apple schon seit Ende Juli bekannt.

Die Schwachstelle wird bisher durch die Malware WireLurker nur in China ausgenutzt. Palo Alto Networks entdeckte vergangene Woche dort eine Schadsoftware, die Macs befällt und von dort aus auf per USB verbundene Smartphones übergreift.

Apple erklärt in seiner Stellungnahme, es wisse bisher nichts über betroffene Nutzer. “Wir haben OS X und iOS mit eingebauten Sicherheitsmaßnahmen ausgestattet, die Kunden schützen und warnen, bevor sie potenziell gefährliche Software installieren”, teilte ein Apple-Sprecher mit. “Wir empfehlen unseren Kunden, nur Software aus vertrauenswürdigen Quellen wie dem App Store herunterzuladen und auf alle Warnmeldungen beim Download zu achten. Enterprise-Nutzer, die spezielle Apps verwenden, sollten nur Apps von der sicheren Seite ihres Unternehmens installieren.”

Da alle iOS-Versionen ab 7.1.1 betroffen sind, sind rund 95 Prozent aller mobilen Geräte von Apple für den Masque-Attack-Bug anfällig. Fireeye weist darauf hin, dass der Bug auch auf iPhones oder iPads ausgenutzt werden kann, auf denen kein Jailbreak installiert wurde. Viele andere Schadprogramme können nur iOS-Geräte befallen, wenn diese zuvor freigeschaltet wurden.

Apple arbeitet nach eigenen Angaben an einem Fix für die Masque-Attack-Lücke. Ob allerdings in iOS 8.1.1, das derzeit als Betaversion vorliegt, ein ein Patch enthalten sein wird, ist derzeit noch unklar.

Sicherheitsspezialist Jonathan Zdziarski kritisierte, dass Apple einer App bisher nicht ein bestimmtes Zertifikat zuordnet. Hacker könnten so die Signatur eines offiziellen aus dem App Store stammenden Programms austauschen und es mit einem eigenen Zertifikat versehen. Das müsse der Hersteller schnellstens ändern, da ansonsten durch die von Wirelurker aufgezeigte Schwäche in der Sicherheitsarchitektur ernste Konsequenzen drohten. Laut Zdiarski ist zwar die Schadsoftware selbst “amateurhaft” und könne relativ leicht entdeckt werden, jedoch sind seiner Ansicht nach Geheimdienste oder begabtere Hacker in der Lage, die Systemschwäche effektiver auszunutzen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.