Wirelurker: Apple-Malware oder Angriffstest? [Kommentar]
Kommentare

 

Zurzeit machen Nachrichten über den Trojaner „Wirelurker“ die Runde, der vor allem Apple-Geräte gefährdet. Insbesondere und zu Recht wird dabei betont, dass der Trojaner Geräte auch ohne Jailbreak infizieren kann. Doch das scheint gar nicht das Ziel der Angreifer gewesen zu sein.

Ein Risiko mit tatsächlicher Malware gab es nur für Geräte, bei denen ein Jailbreak vorlag. Das wahre Problem mit Wirelurker besteht weniger in der Bedrohung selbst als vielmehr in Apples Funktionalität des Unternehmens-Provisioning. Gelingt es Apple nicht, diesen Aspekt des Gerätemanagements abzusichern, entsteht dauerhaft ein hohes Bedrohungspotenzial.

Wirelurker eine akute Bedrohung für Apple-User?

Um es gleich vorwegzunehmen: Wirelurker stellt zurzeit keine aktuelle Bedrohung für Apple-Anwender dar. Denn die bekannten Varianten werden von OS X geblockt und die Befehls- und Kontrollserver sind alle vom Netz genommen worden. Vor allem aber hat Apple das gestohlene Zertifikat, das den Angriff erst ermöglichte, zurückgenommen und damit das wirklich Neue an der Bedrohung, nämlich die Installation von Apps auf Geräten ohne Jailbreak, zunichte gemacht.

Angriff über Trojaner-Apps

Der Angriffsweg von Wirelurker verläuft über trojanisierte, also gekaperte Apps, nicht über Sicherheitslücken. Um eine solche App auf Geräten ohne Jailbreak zu installieren, müssen Angreifer und Nutzer das so genannte Unternehmens-Provisioning verwenden, ein Bestandteil des Apple-Managements für mobile Geräte. Es wird normalerweise dazu genutzt, angepasste Apps auf die iOS-Geräte einer Organisation zu installieren.

Bislang liegen meinen Kollegen aus der Bedrohungsforschung allerdings keinerlei Hinweise auf über diesen Weg verbreite Apps vor, die tatsächlich Schadcode enthalten. Es handelt sich bei Wirelurker und den auf Geräten ohne Jailbreak verbreiteten unerwünschten, aber nicht gefährlichen Apps also eher um einen Test für zukünftige Bedrohungsszenarien und weniger um eine echte Attacke.

Das Problem: Unternehmens-Provisioning

Und genau hier liegt das Problem: Sollte es Cyber-Kriminellen erneut gelingen, legitime Apple-Zertifikate zu stehlen, können sie wieder den Weg über das Unternehmens-Provisioning wählen. Es scheint den Angreifern bei Wirelurker also weit mehr darum gegangen zu sein, auszutesten, wie man über Apple-Geräte in Unternehmensnetze eindringen kann, als Privatanwender zu attackieren.

Bestätigung durch User ermöglicht Installation schadhafter Apps

Apple sollte deshalb diesen Teil seines Gerätemanagements überarbeiten, um das Bedrohungs- und Angriffsszenario, das Wirelurker vor Augen geführt hat, in Zukunft unmöglich zu machen. Dies gilt insbesondere für das Glied in der Angriffskette, an dem der Nutzer beteiligt ist. Denn dieser muss explizit seine Einwilligung zur Installation von Apps geben, die über das Unternehmens-Provisioning bereitgestellt werden. Und es dürfte für den Anwender sehr schwer bis unmöglich sein, zwischen guten und schädlichen Apps zu unterscheiden.

Weitere Informationen zu Wirelurker und den Gefahren, die davon ausgehen, sind im Trend Micro-Blog abrufbar.

Unsere Redaktion empfiehlt:

Relevante Beiträge

Meinungen zu diesem Beitrag

X
- Gib Deinen Standort ein -
- or -