So ein Trojaner wie WireLurker war zu erwarten: Entwickler müssen mehr in Sicherheit investieren

Die Apple-Gemeinde ist in Aufregung: Der Trojaner „WireLurker“ aus China attackiert gezielt Macs und iPhones. Experten sprechen vom „bisher größten Angriff gegen Apple“. Die Malware wird ständig weiterentwickelt – doch Nutzer können sich zur Zeit noch ganz einfach schützen.

Ein vor Kurzem entdeckte Malware namens „WireLurker“ ist gezielt für die Infizierung von Apple-Geräten mit den Betriebssystemen Mac OS und iOs programmiert worden. Wie das US-Sicherheitsunternehmen Palo Alto Networks bekanntgab, sei der von ihnen entdeckte Trojaner vermutlich in China entwickelt worden und bereits seit rund sechs Monaten im Umlauf. Auch seien die meisten betroffenen Geräte in China registriert.

…

…

Die Malware befalle zunächst Mac-Computer mittels Drittanbieter durch über 450 Apps, die in China über den Maiyadi App Store erhältlich sind. Die betroffenen Programme seien im vergangenen halben Jahr schon beinahe 360.000 Mal heruntergeladen worden und haben so womöglich Hunderttausende Geräte befallen. Zu den infizierten Apps gehören beliebte Spiele wie Angry Birds, The Sims, Pro Evolution Soccer oder Battlefield.

Wird dann auch das iPhone oder ein sonstiges tragbares Apple-Gerät per USB-Kabel angeschlossen, erkennt WireLurker dies und überträgt sich weiter – daher auch der Name der Malware, der sich in etwa mit „Kabel-Lauscher“ übersetzen lässt.

„WireLurker gleicht nichts, was wir jemals im Zusammenhang mit Apple iOS und OSX Malware gesehen haben“, sagte Ryan Olson vom Palo Alto Network der BBC. „Die genutzte Technik lässt vermuten, dass die Übeltäter immer gewiefter werden, wenn es um das Eindringen in eine der weltweit meistgenutzten Desktop- und Mobilplattformen geht.“ Es handele sich um „den größten Angriff gegen Apple, den wir je gesehen haben“. Zudem würde die Malware immer noch weiterentwickelt und die letztendliche Absicht der Urheber sei noch nicht klar identifiziert worden, fügte Olson hinzu.

Die Entdeckung der neuen Apple-Malware WireLurker ist bitter, aber nicht wirklich überraschend. „Der Schutz von Applikationen spielt für die meisten Unternehmen und App-Entwickler immer noch eine eher untergeordnete Rolle. Auch sind sich viele der neuen Risiken und Bedrohungen, die vor allem durch mobile Apps entstehen, gar nicht wirklich bewusst. Unternehmen investieren ihre Zeit und ihr Geld in erster Linie in klassischen Perimeter- und Infrastrukturschutz. Beliebte Maßnahmen zum Schutz von Software und Anwendungen, wie etwa, Threat Modeling, Architectural Risk Assessment, Source Code Review, Penetrationstests, Application Monitoring etc., sind zwar wichtig, aber – vor allem in mobilen Umgebungen – bei weitem nicht ausreichend., erklärt Mirko Brandner von Arxan Technologies.

Was viele nicht wissen: Solange ihr Binärcode nicht geschützt ist, kann jede Applikation angegriffen werden.

Im Fall von WireLurker wurde die jeweils betroffene App iOS-App „umverpackt” (re-packaged) und mit einem Schadcode versehen, der schädliche Aktivitäten ausführen kann. Ein ungeschützter Binärcode ermöglicht es Hackern, den Code zu rekonstruieren (reverse engineer).  Alle weiteren Schutzmaßnahmen verlieren dann an Bedeutung, und Angreifer haben ungehinderten Zugang zu allen kritischen Informationen, zu den „Kronjuwelen“ der App. Im Falle von WireLurker konnten sich die mit einem Trojaner infizierte iOS-Apps ungehindert via Apples „Enterprise Deployment Modell“ verbreiten. Auffallend ist dabei, dass WireLurker sowohl iOS-Geräte mit Jailbreak als auch nicht gejailbreakte Geräte betrifft.

Um die Risiken solcher Angriffe auf Applikationen zukünftig zu mindern, müssen die Apps bereits in ihrem Entwicklungsprozess gehärtet (Application-Hardening) und mit einem wirksamen Laufzeitschutz (runtime protection) ausgestattet werden, welcher die Umgebung, auf denen die Apps laufen, genau überprüft und  mögliche Manipulationen erkennt. Das Ziel sollte eine sich selbst verteidigende App sein, die Hackerangriffe und Malware wie z.B. WireLurker selbstständig erkennt und abwehrt.

Wie können Nutzer sich schützen?

WireLurker überträgt sich derzeit über befallene Macs und App Stores von Drittanbietern. Wer Apps nur über iTunes runterlädt und seine iOS-Geräte nicht mit anderen Macs oder PCs verbindet, braucht zur Zeit nichts zu befürchten. Gefahren drohen, wenn man Apps aus unsicheren Quellen lädt und seine iOS-Geräte zum Beispiel mit öffentlichen Macs in Bibliotheken oder Internet-Cafes verbindet.