Operation Triangulation zielt mit neuartiger Malware auf iOS-Geräte ab

Bei der Überwachung des Netzwerkverkehrs ihres dedizierten Unternehmens-WLAN-Netzwerks für mobile Geräte stellten die Forscher von Securelist verdächtige Aktivitäten fest, die von mehreren iOS-basierten Telefonen ausgingen. Aufgrund der inhärenten Einschränkungen bei der internen Überprüfung moderner iOS-Geräte entschieden sich die Forscher dafür, Offline-Backups der betreffenden Geräte zu erstellen und diese mit dem mvt-ios-Tool des Mobile Verification Toolkit zu analysieren. Durch diese Analyse deckten sie Beweise für eine Kompromittierung auf, was zur Identifizierung einer Kampagne namens „Operation Triangulation“ führte.

Durch die Untersuchung der Backups mobiler Geräte, die eine teilweise Nachbildung des Dateisystems, einschließlich Benutzerdaten und Dienstdatenbanken, umfassen, konnten die Forscher Datei- und Ordner-Zeitstempel sowie Datenbankeinträge nutzen, um eine grobe Zeitleiste der Ereignisse auf dem kompromittierten Gerät zu rekonstruieren Geräte. Das Dienstprogramm mvt-ios ermöglichte die Erstellung einer sortierten Zeitleistendatei mit dem Namen „timeline.csv“, ähnlich den Super-Zeitleisten, die in herkömmlichen digitalen forensischen Tools verwendet werden.

Durch die Nutzung dieses Zeitrahmens gelang es den Forschern, bestimmte Artefakte erfolgreich zu lokalisieren, die auf die Kompromittierung hindeuteten. Diese Entdeckung trieb ihre Forschung voran und ermöglichte es ihnen, den allgemeinen Infektionsablauf wie folgt zu skizzieren:

• Das Ziel-iOS-Gerät empfängt eine iMessage mit einem mit Exploits beladenen Anhang.
• Die Nachricht löst eine Schwachstelle im Gerät aus, die zur Codeausführung ohne Benutzerinteraktion führt.
• Der Exploit lädt mehrere nachfolgende Phasen vom Command-and-Control-Server (C&C) herunter, einschließlich Exploits zur Rechteausweitung.
• Nach erfolgreicher Ausnutzung wird eine voll funktionsfähige APT-Plattform (Advanced Persistent Threat) als endgültige Nutzlast vom C&C-Server heruntergeladen.
• Die ursprüngliche Nachricht und der Exploit-Anhang werden gelöscht, um Spuren zu verwischen.

Aufgrund von Einschränkungen des Betriebssystems mangelt es dem bösartigen Toolset an Persistenz. Folglich deuten Zeitleisten mehrerer Geräte auf die Möglichkeit einer erneuten Infektion nach dem Neustart hin. Die frühesten identifizierten Spuren einer Infektion stammen aus dem Jahr 2019. Seit Juni 2023 dauert der Angriff noch an und zielt auf Geräte mit iOS 15.7 ab, der zum Zeitpunkt des Verfassens dieses Artikels neuesten Version.
Die Analyse der endgültigen Nutzlast ist noch nicht abgeschlossen. Der mit Root-Rechten ausgeführte Code implementiert eine Reihe von Befehlen zum Sammeln von System- und Benutzerinformationen und kann beliebigen Code ausführen, der als Plugin-Module vom C&C-Server bezogen wurde.

Es ist wichtig zu beachten, dass trotz der Tatsache, dass die Malware spezielle Codesegmente enthält, die dazu dienen, Spuren einer Kompromittierung zu löschen, es immer noch möglich ist, zuverlässig festzustellen, ob ein Gerät kompromittiert wurde. Wenn außerdem ein neues Gerät durch die Migration von Benutzerdaten von einem älteren Gerät eingerichtet wird, enthält das iTunes-Backup beider Geräte Spuren der Kompromittierung mit genauen Zeitstempeln.

Warum ist Schadsoftware für iOS-Telefone schwer zu erkennen?

Malware für iOS-Telefone gilt im Allgemeinen als schwieriger zu erkennen als Malware, die auf andere Betriebssysteme wie Android abzielt. Dafür gibt es mehrere Gründe:

Geschlossenes Ökosystem: iOS ist ein geschlossenes Ökosystem, was bedeutet, dass Apple die Hardware, Software und App-Verteilung auf seinen Geräten streng kontrolliert. Diese geschlossene Natur macht es für Malware schwieriger, im System Fuß zu fassen und sich zu verbreiten.

Überprüfungsprozess im App Store: Der App Store verfügt über einen strengen Überprüfungsprozess, bei dem jede App überprüft wird, bevor sie zum Download bereitgestellt wird. Dieser Prozess trägt dazu bei, die weite Verbreitung bösartiger Apps zu verhindern. Dies schließt zwar die Möglichkeit des Durchschleichens von Malware nicht vollständig aus, bietet jedoch eine zusätzliche Schutzebene.

Sandboxing: iOS-Apps sind sandboxed, was bedeutet, dass sie in ihrer eigenen eingeschränkten Umgebung ausgeführt werden und nur begrenzten Zugriff auf die zugrunde liegenden Systemressourcen und Daten haben. Diese Isolierung verhindert, dass sich Malware leicht über verschiedene Teile des Systems verbreitet.

Codesignatur und Verschlüsselung: iOS-Apps müssen mit einem von Apple ausgestellten Entwicklerzertifikat signiert sein. Durch diese Codesignatur wird sichergestellt, dass nur autorisierte Entwickler Apps erstellen und verteilen können. Darüber hinaus nutzt iOS starke Verschlüsselungsmaßnahmen, was es schwierig macht, den Code der App zu analysieren und zu manipulieren.

Eingeschränkte Benutzerrechte: iOS schränkt die Benutzerrechte ein und verhindert, dass Apps ohne ausdrückliche Benutzererlaubnis auf sensible Bereiche des Geräts zugreifen. Diese Einschränkung verringert die potenziellen Auswirkungen von Malware.

Obwohl iOS mehrere Sicherheitsfunktionen bietet, ist es wichtig zu beachten, dass kein System völlig immun gegen Malware ist. Es gab Fälle von iOS-Malware, aber aufgrund der oben genannten Faktoren ist sie im Vergleich zu anderen Plattformen tendenziell weniger verbreitet. Da sich die Technologie jedoch weiterentwickelt, passen sich Malware-Entwickler kontinuierlich an und finden neue Wege, um Schwachstellen auszunutzen, was fortlaufende Sicherheitsmaßnahmen und Wachsamkeit erfordert.