Nachrichten, Gerüchte, Meldungen und Berichte aus der IT-Szene
Redaktion: Heinz Schmitz
Wirelurker - Angriff oder Angriffstest?
Udo Schneider kennt sich aus mit den Gefahren, die im Internet lauern, und weiß, wie man sich vor ihnen schützen kann. Bevor er beim IT-Sicherheitsanbieter Trend Micro seine jetzige Position als Pressesprecher antrat, beschäftigte er sich als Solution Architect EMEA mehrere Jahre lang mit der Entwicklung geeigneter Maßnahmen gegen diese Gefahren – mit Fokus auf Cloud-Computing, Virtualisierung, Verschlüsselung und Netzwerksicherheit. Schneider kommt dabei seine langjährige Erfahrung zugute, die er als Berater, Trainer und Security-Analyst bei verschiedenen Anbietern des IT-Sicherheitsmarktes erworben hat. Er kommentiert die Wirelurker Angriffswelle die es vor allem auf Applegeräte abgesehen hat.
Zurzeit machen Nachrichten über den Trojaner „Wirelurker“ die Runde, der vor allem Apple-Geräte gefährdet. Insbesondere und zu Recht wird dabei betont, dass der Trojaner Geräte auch ohne Jailbreak infizieren kann. Doch das scheint gar nicht das Ziel der Angreifer gewesen zu sein. Ein Risiko mit tatsächlicher Malware gab es nur für Geräte, bei denen ein Jailbreak vorlag. Das wahre Problem mit Wirelurker besteht weniger in der Bedrohung selbst als vielmehr in Apples Funktionalität des Unternehmens-Provisioning. Gelingt es Apple nicht, diesen Aspekt des Gerätemanagements abzusichern, entsteht dauerhaft ein hohes Bedrohungspotenzial.
Um es gleich vorwegzunehmen: Wirelurker stellt zurzeit keine aktuelle Bedrohung für Apple-Anwender dar. Denn die bekannten Varianten werden von OS X geblockt und die Befehls- und Kontrollserver sind alle vom Netz genommen worden. Vor allem aber hat Apple das gestohlene Zertifikat, das den Angriff erst ermöglichte, zurückgenommen und damit das wirklich Neue an der Bedrohung, nämlich die Installation von Apps auf Geräten ohne Jailbreak, zunichte gemacht.
Der Angriffsweg von Wirelurker verläuft über trojanisierte, also gekaperte Apps, nicht über Sicherheitslücken. Um eine solche App auf Geräten ohne Jailbreak zu installieren, müssen Angreifer und Nutzer das so genannte Unternehmens-Provisioning verwenden, ein Bestandteil des Apple-Managements für mobile Geräte. Es wird normalerweise dazu genutzt, angepasste Apps auf die iOS-Geräte einer Organisation zu installieren.
Bislang liegen meinen Kollegen aus der Bedrohungsforschung allerdings keinerlei Hinweise auf über diesen Weg verbreite Apps vor, die tatsächlich Schadcode enthalten. Es handelt sich bei Wirelurker und den auf Geräten ohne Jailbreak verbreiteten unerwünschten, aber nicht gefährlichen Apps also eher um einen Test für zukünftige Bedrohungsszenarien und weniger um eine echte Attacke.
Und genau hier liegt das Problem: Sollte es Cyberkriminellen erneut gelingen, legitime Apple-Zertifikate zu stehlen, können sie wieder den Weg über das Unternehmens-Provisioning wählen. Es scheint den Angreifern bei Wirelurker also weit mehr darum gegangen zu sein auszutesten, wie man über Apple-Geräte in Unternehmensnetze eindringen kann, als Privatanwender zu attackieren.
Apple sollte deshalb diesen Teil seines Gerätemanagements überarbeiten, um das Bedrohungs- und Angriffsszenario, das Wirelurker vor Augen geführt hat, in Zukunft unmöglich zu machen. Dies gilt insbesondere für das Glied in der Angriffskette, an dem der Nutzer beteiligt ist. Denn dieser muss explizit seine Einwilligung zur Installation von Apps geben, die über das Unternehmens-Provisioning bereitgestellt werden. Und es dürfte für den Anwender sehr schwer bis unmöglich sein, zwischen guten und schädlichen Apps zu unterscheiden.
Weitere Informationen unter:
http://blog.trendmicro.de/ist-wirelurker-nur-ein-test/
http://tss-schmitz.de/cms1/index.php/nachrichtenleser/apple-schaedling-wirelurker.html