Serien-Exploits: iPhones wurden über Jahre im Vorbeigehen geknackt

Über Jahre hinweg hatte eine Gruppe von Kriminellen einen enormen Wissensvorsprung vor der gesamten Security-Szene, staatlichen Stellen und ihren im größeren Maßstab agierenden Kollegen. Über mehrere Versionen hinweg konnten sie iPhones knacken, wenn diese nur eine entsprechend manipulierte Webseite luden und renderten. Entdeckt wurden die laufenden Attacken letztlich schon vor einiger Zeit vom Project Zero-Team bei Google. Dieses sucht eigentlich in den Geräten und Plattformen selbst nach bisher unbekannten Schwachstellen, doch musste man diesmal eingestehen, dass ihre Gegner im Untergrund schlicht sehr viel schneller waren. Allerdings ging es dann wirklich schnell: Die Google-Hacker meldeten sich am 1. Februar bei Apple und schon eine Woche später begann das Unternehmen in iOS 12.1.4 alle notwendig gewordenen Patches auszuliefern.

Die ganze Sache wäre letztlich auch nicht sonderlich spektakulär, wenn da eine Gruppe Krimineller über eine einzelne Schwachstelle gestolpert wäre und diese ausgenutzt hätte. Allerdings fanden die Google-Experten gleich fünf verschiedene Exploits, mit denen die beschriebenen Drive-by-Angriffe auf verschiedene iOS-Versionen möglich waren. Teils waren die genutzten Schwachstellen in späteren iOS-Fassungen schon nicht mehr nutzbar.

Exploits waren Millionen wert

Mit den fünf Exploits konnten hingegen durchgängig alle iPhones ab einer Ausstattung mit iOS 10 attackiert werden. Die Angreifer nutzten ihre so entstandenen Möglichkeiten in erster Linie, um Daten von den Geräten zu entwenden und teils auch um Bewegungsprofile der Nutzer zu erstellen. Es gibt aktuell noch keine Hinweise darauf, wie die so erlangten Daten eventuell genutzt wurden, um Geld zu machen.

Angesichts dessen, dass der oder die Täter hinter der Aktion offenbar sehr intensiv und kontinuierlich nach Schwachstellen in iOS gesucht haben, stellt sich die Frage, warum sie ihre Erkenntnisse nicht für einfachere und sichere Einnahmemöglichkeiten genutzt haben. Denn der Verkauf der Exploits an interessierte Kreise hätte nach Einschätzungen der Sicherheitsforscher wahrscheinlich mehrere Millionen Dollar einbringen können.

Siehe auch: Exploit-Händler bietet jetzt 2 Millionen Dollar für iOS-Schwachstellen