Masque Attack: So schützen Sie sich vor der iOS-Lücke

Nach der vergleichsweise harmlosen WireLurker-Angriffsmethode sorgt inzwischen eine weitaus bedrohlichere iOS-Schwachstelle für Schlagzeilen. Die Angriffsart «Masque Attack» hat es dabei auf alle iPhone-Nutzer abgesehen, auch auf iPhones ohne Jailbreak.

Die Methode macht sich die Tatsache zunutze, dass die von Apple herausgegebenen Enterprise-Zertfikate die Installation neuer Anwendungen auch ausserhalb des App-Stores zulassen. Die Cyberkriminellen seien sogar in der Lage, installierte iOS-Apps zu überschreiben. Fällt jemand auf die Masche rein, wird beispielsweise unbemerkt eine tägliche Anwendung wie Gmail überschreiben. So könnte z.B. eine E-Banking-App als Keylogger-Anwendung missbraucht werden, um Bankdaten von Nutzern auszuspionieren.

Reproduzierbar sei die Angriffsmethode in den iOS-Versionen 7.1.1, 7.1.2, 8.0, 8.1 und 8.1.1 Beta.

Bei der Attacke handelt es sich jedoch viel mehr um eine ausgeklügelte Angriffsmethodik und nicht um eine virale Gefahr! Angreifer müssten nicht nur ein gültiges Enterprise-Zertifkat von Apple beantragen, sie müssten gezielt eine App programmieren, die sich wie eine der Anwendungen des Nutzers verhält. Die nächste Hürde: Angreifer müssten Opfer dazu bewegen, die nachgebaute App vorbei am App-Store zu installieren. Zum Beispiel durch eine Werbe-SMS zu einer beliebten App, die es nicht mehr im Apple-Store gibt. Als letzte Hürde muss das Opfer beim erstmaligen Starten der neuen Anwendung die zusätzliche Sicherheitsnachfrage von Apple bestätigen. Erst wer bestätigt, der inoffiziellen App zu vertrauen, kann schlussendlich der Maskerade zum Opfer fallen.

Unsere Empfehlung: Installieren Sie nie Apps ausserhalb des iTunes App Stores. Wenn es einmal passiert, starten Sie die Downloads auf keinen Fall.

Apple wurde angeblich schon im Juni über Masque Attack in Kenntnis gesetzt, kann oder will aber aus irgendwelchen Gründen zurzeit noch nicht dagegen aktiv werden. Wahrscheinlich, weil Firmen und Entwickler noch auf bestimmte Enterprise-Zertifikate angewiesen sind.