Fieser "NoReboot"-Trick:
iOS-Malware täuscht iPhone-Shutdown vor

Sicherheitsforscher haben einen Weg gefunden, iPhones mithilfe eines Trojaners zu übernehmen. Dabei ist das Einfallstor allerdings keine iOS-Schwachstelle, sondern der Nutzer selbst, denn die Übernahme setzt eine Täuschung voraus. Wie das Ganze funktioniert, erklärt ein interessanter Bericht des Online-Magazins Bleeping Computer. Sicherheitsforscher haben eine neue Technik entwickelt, die ein Herunterfahren oder einen Neustart eines iPhones vortäuscht. Der Nutzer bekommt den Eindruck, dass sein Gerät ausgeschaltet ist oder gerade neu startet. In der Zwischenzeit können Unbefugte dann heimlich Mikrofone ausspähen und sensible Daten über eine aktive Netzwerkverbindung übertragen. Dass das funktioniert, beweisen die Experten von ZecOps. Sie haben einen Proof of Concept veröffentlicht und zeigen, wie sich das iPhone und der Nutzer austricksen lassen.

Zecops hat ein Video erstellt, das die NoReboot-Technik in Aktion zeigt und veranschaulicht, wie leicht jemandem vorgegaukelt werden kann, sein Gerät sei ausgeschaltet worden:

Auf YouTube ansehen
Dabei wird keine Schwachstelle in iOS genutzt - Apple kann also zunächst einmal keinen einfachen Patch für das Problem bereitstellen. Der Angriff setzt aber voraus, dass es gelingt, einen Trojaner auf ein iPhone einzuschleusen.

Proof of Concept

Wenn eine Malware dann ein iOS-Gerät infiziert, wird sie in der Regel einfach durch einen Neustart des Geräts entfernt, da die Malware aus dem Speicher gelöscht wird. Bei dem Proof of Concept von ZecOps werden jedoch die Routinen für das Herunterfahren und den Neustart des Geräts unterbrochen, um zu verhindern, dass sie jemals ausgeführt werden, sodass die Malware sich hartnäckig halten kann, da das Gerät nie wirklich ausgeschaltet wird - der Nutzer denkt das nur, da es nach außen hin so wirkt.

Die Forscher nennen diesen Angriff "NoReboot". Der Trojaner kapert das Ereignis des Herunterfahrens, indem er sich in das Signal einhängt, das an das "SpringBoard" (Daemon für die Interaktion mit der Benutzeroberfläche) gesendet wird.

Anstelle des erwarteten Signals sendet der Trojaner einen Code, der "SpringBoard" zum Beenden zwingt, sodass das Gerät nicht mehr auf Benutzereingaben reagiert. Dies ist in diesem Fall die perfekte Tarnung, da Geräte, die in einen Shutdown-Zustand übergehen, keine Benutzereingaben mehr annehmen. Als Nächstes wird der "BackBoard"-Daemon angewiesen, das sich drehende Rad anzuzeigen, das anzeigt, dass der Shutdown-Prozess im Gange ist. Der Benutzer kehrt irgendwann zu einer normalen Benutzeroberfläche zurück, auf der alle Prozesse und Dienste wie erwartet ausgeführt werden, ohne dass er merkt, dass er gerade einen simulierten Neustart durchlaufen hat. Siehe auch: