11.11.2014 Cyber-Attacke auf Apple-Geräte im Vorfeld der Enterprise-Initiative mit IBM

„Wirelurker“: Angriff oder Angriffstest?

Von: Udo Schneider

Der Trojaner „Wirelurker“, der vor allem Apple-Geräte gefährdet, kann auch Geräte ohne Jailbreak infizieren. Doch ein Risiko mit tatsächlicher Malware gab es nur für Geräte, bei denen ein Jailbreak vorlag. Das wahre Problem mit Wirelurker besteht weniger in der Bedrohung selbst als vielmehr in Apples Funktionalität des Unternehmens-Provisioning.

Ein Kommentar des Sicherheitsspezialisten Udo Schneider, Pressesprecher bei Trend Micro

Zurzeit machen Nachrichten über den Trojaner „Wirelurker“ die Runde, der vor allem Apple-Geräte gefährdet. Um es gleich vorwegzunehmen: Wirelurker stellt zurzeit keine aktuelle Bedrohung für Apple-Anwender dar, denn die bekannten Varianten werden von OS X geblockt – und die Befehls- und Kontrollserver sind alle vom Netz genommen worden. Vor allem aber hat Apple das gestohlene Zertifikat, das den Angriff erst ermöglichte, zurückgenommen und damit das wirklich Neue an der Bedrohung, nämlich die Installation von Apps auf Geräten ohne Jailbreak, zunichte gemacht.

Der Angriffsweg von Wirelurker verläuft über trojanisierte, also gekaperte Apps, nicht über Sicherheitslücken. Um eine solche App auf Geräten ohne Jailbreak zu installieren, müssen Angreifer und Nutzer das so genannte Unternehmens-Provisioning verwenden, ein Bestandteil des Apple-Managements für mobile Geräte. Es wird normalerweise dazu genutzt, angepasste Apps auf die iOS-Geräte einer Organisation zu installieren.

Bislang liegen meinen Kollegen aus der Bedrohungsforschung keinerlei Hinweise auf über diesen Weg verbreite Apps vor, die tatsächlich Schadcode enthalten. Es handelt sich bei Wirelurker und den auf Geräten ohne Jailbreak verbreiteten unerwünschten, aber nicht gefährlichen Apps also eher um einen Test für zukünftige Bedrohungsszenarien und weniger um eine echte Attacke.

Und genau hier liegt das Problem: Sollte es Cyberkriminellen erneut gelingen, legitime Apple-Zertifikate zu stehlen, können sie wieder den Weg über das Unternehmens-Provisioning wählen. Es scheint den Angreifern bei Wirelurker also weit mehr darum gegangen zu sein auszutesten, wie man über Apple-Geräte in Unternehmensnetze eindringen kann, als Privatanwender zu attackieren.

Apple sollte deshalb diesen Teil seines Gerätemanagements überarbeiten, um dieses Bedrohungs- und Angriffsszenario in Zukunft unmöglich zu machen. Dies gilt insbesondere für das Glied in der Angriffskette, an dem der Nutzer beteiligt ist. Denn dieser muss explizit seine Einwilligung zur Installation von Apps geben, die über das Unternehmens-Provisioning bereitgestellt werden. Und es dürfte für den Anwender sehr schwer bis unmöglich sein, zwischen guten und schädlichen Apps zu unterscheiden. Gelingt es Apple nicht, diesen Aspekt des Gerätemanagements abzusichern, entsteht dauerhaft ein hohes Bedrohungspotenzial.