iOS-Malware YiSpecter: Forscher sichten neuen Schädling

Auf XcodeGhost folgt YiSpecter. Keinen Monat, nachdem es unbekannten Entwicklern gelang, mithilfe einer gefälschten Version des Apples-Entwicklerwerkzeuges Xcode modifizierte und potenziell auch mit Schadcode behaftete Apps in den App Store einzuschmuggeln, zeigt sich mit YiSpecter jetzt ein weiteres Problem, das manipulierte Anwendungen zum Angriff auf werksfrische iOS-Geräte ausnutzen könnten.

(Bild: Shutterstock)

Die Sicherheitsforscher des Palo Alto Netzwerkes haben die neue iOS-Malware entdeckt und ihr den Namen YiSpecter gegeben. YiSpecter unterscheidet sich von zuvor beobachteter iOS-Malware dadurch, dass sie Angriffe sowohl auf Jailbroken als auch Nicht-Jailbroken-iOS-Geräte durchführt.

Dabei fällt YiSpecter durch besonders schädliche bösartige Aktivitäten auf. Es handelt sich um die erste in freier Wildbahn beobachtete Malware, die private APIs (Application Programming Interface) im iOS-System missbraucht, um schädliche Funktionalitäten zu implementieren. […] Die Malware ist seit mehr als zehn Monaten in freier Wildbahn, aber nur eine von 57 Sicherheitssoftwareanbietern in VirusTotal ist zum derzeitigen Stand in der Lage, die Malware zu erkennen.

Nach derzeitigem Erkenntnisstand sollen bisher vor allem iOS-Nutzer aus China und Taiwan betroffen sein. Vor allem die ungewöhnliche Verbreitung der modifizierten Apps (Traffic-Hijacking von nationalen Internetdienstbetreibern, einen SNS-Wurm auf Windows sowie über Offline-App-Installation und Community-Werbung) scheint webweite „Infektionen“ bislang noch zu begrenzen.

Nach Angaben des Palo Alto-Experten Claud Xiao zeichnet sich YiSpecter durch mehrere charakteristische Eigenschaften aus. Zu diesen zählen:

• Egal ob ein iPhone jailbroken ist oder nicht, kann die Malware erfolgreich heruntergeladen und installiert werden.
• Auch wenn die Malware manuell gelöscht wird, erscheint sie automatisch wieder.
• Mithilfe von Drittanbieter-Tools können einige seltsame zusätzliche „System-Apps“ auf infizierten Handys erkannt werden.
• Auf infizierten Handys erscheint in einigen Fällen, wenn der Benutzer eine normale App öffnet, eine Vollbild-Werbeanzeige.

Erst kürzlich zuvor zeigte sich bei der Malware WireLurker, wie Nicht-Jailbroken-iOS-Geräte durch den Missbrauch von Unternehmenszertifikaten infiziert werden können. Die Entwickler-Community diskutiert zudem schon eine ganze Weile, wie private APIs verwendet werden, um kritische Funktionalitäten in iOS zu implementieren. YiSpecter ist nun die erste iOS-Malware, die diese beiden Angriffstechniken kombiniert und dadurch Schaden bei einem breiteren Spektrum von Anwendern verursachen könnte.

Wir halten euch auf dem Laufenden.