Pegasus & Co.: Kaspersky-Tool erkennt Staatstrojaner auf iPhones

Das Security-Unternehmen Kaspersky hat ein Tool entwickelt, mit dem Infektionen des Staatstrojaners Pegasus erkannt werden können. Aber auch andere Spionageprogramme, die ähnlich funktionieren, sollen sich damit aufspüren lassen.

Verräterische Log-Einträge

Die zugrundeliegende Erkennungsmethode wurde durch das Global Research and Analysis Team (GReAT) entwickelt, das zu Kaspersky gehört. Auf deren Grundlage entstand dann ein Tool zum Infektionscheck, das jetzt durch das Unternehmen kostenlos auf GitHub zur Verfügung gestellt wurde.

Die neue Erkennungsmethode konnten die Experten von Kaspersky entwickeln, da sie erkannten, dass Pegasus-Infektionen Spuren im Systemprotokoll Shutdown.log, das im Diagnosearchiv jedes iOS-Geräts enthalten ist, hinterlassen. Das Archiv enthält Informationen zu jedem Reboot-Vorgang, sodass Anomalien der Pegasus-Malware im Protokoll sichtbar werden, sobald ein infizierter Nutzer sein Gerät neu startet.


Bei der Analyse der Shutdown.log auf infizierten Geräten fanden die Kaspersky-Experten unter anderem den Infektionspfad "/private/var/db/", der den Pfaden anderer iOS-Malware wie Reign und Predator entsprach. Dieser ist normalerweise nicht vorhanden und kann somit einen Hinweis auf vorhandene Staatstrojaner geben.

Tool für alle Systeme

Basierend auf diesen Erkenntnissen wurde ein Selbstcheck-Tool für Nutzer entwickelt. Mithilfe dessen kann Shutdown.log leichter extrahiert, analysiert und geparst werden. Das Tool ist frei auf Github für MacOS, Windows und Linux verfügbar.

Durch den Infektionsindikator aus diesem Protokoll und die Bestätigung der Infektion mithilfe der Verarbeitung anderer iOS-Artefakte durch das MVT (Mobile Verification Toolkit) wird das Protokoll nun Teil eines holistischen Ansatzes zur Untersuchung von iOS-Malwareinfektionen. Wir haben die Verhaltensübereinstimmung mit anderen analysierten Pegasus-Infektionen verifiziert, sodass wir davon ausgehen, dass es als zuverlässiges forensisches Artefakt zur Unterstützung der Infektionsanalyse dienen wird", sagte Maher Yamout, Lead Security Researcher im GReAT von Kaspersky.

Siehe auch: