Spyware gelangte ohne Klick per Kalender-Einladung aufs iPhone

Mit manipulierten Kalendereinladungen ist es inzwischen mehrfach gelungen, iPhone-Nutzern Spyware unterzuschieben. Entwickelt wurden die dabei eingesetzten Zero-Click-Exploits nach Angaben von Microsoft-Experten durch die israelische Firma QuaDream. Die Sicherheitsexperten des Redmonder Software-Konzerns haben eine entsprechende Malware gemeinsam mit dem kanadischen Citizen Lab ausgewertet. Ihr Hersteller QuaDream ist bisher noch kaum in Erscheinung getreten und entsprechend unbekannt. Allerdings scheint sich dies derzeit zu ändern, da die größeren Produzenten von Staatstrojanern - wie die israelische NSO Group und die deutsche Gamma/FinFisher - faktisch aus dem Rennen sind.

Zero-Click-Exploits, bei denen die Malware installiert und aktiviert wird, ohne dass der Nutzer beispielsweise einen bösartigen Link anklicken oder Rechte freigeben muss, sind insbesondere auf dem iPhone relativ selten und auf dem Markt für Sicherheitslücken entsprechend teuer. Für entsprechende Informationen müssen durchaus Beträge auf den Tisch gelegt werden, die oft im Millionen-Bereich liegen.

Patches sind da

Das lohnt sich natürlich nur, wenn man über ausreichend Kundenschaft verfügt. Und das ist bei QuaDream inzwischen der Fall. Scans zeigten, dass es für die fragliche Malware Kontroll-Infrastrukturen in Bulgarien, der Tschechischen Republik, Ungarn, Rumänien, Ghana, Israel, Mexiko, Singapur, den Vereinigte Arabische Emiraten (VAE) und Usbekistan gibt. Das lässt darauf schließen, dass die dortigen Regierungen und Behörden den Staatstrojaner eingekauft haben und aktiv nutzen, um Nutzer auszuspionieren.

Microsoft gab an, die ursprünglichen Malware-Samples gefunden zu haben. Man teilte sie dann mit den Forschern von Citizen Lab, die mehr als fünf Opfer - einen NGO-Mitarbeiter, Politiker und Journalisten - identifizieren konnten, deren iPhones gehackt worden waren. Der dabei genutzte Exploit wurde für iOS 14 entwickelt und war zu diesem Zeitpunkt ungepatcht und Apple unbekannt.

Die Informationen wurden aus verschiedenen Gründen erst jetzt öffentlich gemacht, die Funde der Malware datieren teils aber bis ins Jahr 2021 zurück. Inzwischen hat Apple die Schwachstellen, die von dem Staatstrojaner genutzt wurden, längst geschlossen. Soweit möglich wurden die betroffenen Ziele auch über die Infektionen informiert.

Siehe auch: