Angriffe gegen Apple-Systeme - Populäre Irrtümer und gefühlte Sicherheit

Seit einiger Zeit haben Erpressungstrojaner bzw. Krypto-Trojaner oder Ransomwareⁱ den Spitzenplatz an medialer Aufmerksamkeit unter den Schadsoftware-Kampagnen erlangt. Auch in der Vorfallsbearbeitung für das Deutsche Forschungsnetz nehmen diese mittlerweile einen festen Platz in den vorderen Rängen der täglichen Warnmeldungen ein. In diesem Zusammenhang erreichten uns mehrfach Nachfragen von Verantwortlichen verschiedener Einrichtungen, die in ihrem Bemühen, erhöhte Aufmerksamkeit und Vorsicht unter den Anwendern zu befördern ('awareness rising'), bei Apple-Anwendern regelmäßig auf Gleichgültigkeit stießen. Begründet wurde diese nicht mit der im Einzelfall sogar richtigen Aussage, dass Mac OS X hier nicht betroffen sei, sondern sie als Apple-Anwender prinzipiell von solchen Schadsoftware-Kampagnen nicht berührt würden.

Verwundbarkeit

Mehrere hundert veröffentlichte Schwachstellen für Apple-Systeme deuten bereits an, dass diese Systeme, wenngleich sie (noch) nicht im Fokus von Schadsoftware stehen, doch sehr wohl angreifbar sind.ⁱⁱ Trotzdem konnten wir in der Vergangenheit nur auf einen unvollständig umgesetzten Erpressungstrojaner, FileCoder.a, für Mac OS X aus dem Jahr 2014 verweisen.ⁱⁱⁱ Erst mit dem Bekanntwerden von KeRanger^iv und seiner Verbreitung^v im März 2016 verfügen wir über ein praktisches Beispiel, warum auch für Apple-Anwender die mittlerweile über das BSI breit veröffentlichten^vi Vorsichtsmaßnahmen von Bedeutung sind. Der unzuverlässige Schutz von Backups über Time Machine^vii rückt robuste Datensicherungsstrategien auch hier in den Vordergrund.

Die gefühlte Sicherheit der Apple-Anwender basiert zum einen sicher auf der deutlich geringeren Zahl von Angriffen: Durch die noch immer relativ geringe Verbreitung von OS X als Desktop-Betriebssystem ist dieses als Angriffsziel vergleichsweise wenig lukrativ. Allerdings kann sich dieses in Zukunft durchaus ändern; so wurde im Jahr 2015 etwa fünf mal mehr OS X Malware aufgefunden als in den vorherigen fünf Jahren zusammen.
Zum anderen bietet Apple seinen Nutzern seit 2010 mit dem App Store eine kontrollierte Vertriebsplattform für Software und überwacht seit der Einführung von Gatekeeper in 2012, dass prinzipiell nur von Apple freigegebene Software auf den Systemen installiert werden kann. Bedauerlicherweise wurden hiermit nicht nur neue Schwachstellen im Gatekeeper hinzugefügt, sondern zudem auch neue Angriffswege eröffnet. Es können beispielsweise bereits vom Gatekeeper freigegebene Produkte nachträglich infiziert werden und das System kompromittieren oder Angriffe über die zum Veröffentlichen eines Programms im App Store von Apple bereitgestellte Entwicklungsumgebung Xcode durchgeführt werden.^viii

So war der oben genannte KeRanger keinesfalls die erste oder gar prominenteste Schadsoftware mit hoher Verbreitung auf Apple-Systemen.
Wir erhalten seit geraumer Zeit täglich zahlreiche Meldungen von Verbindungsversuchen infizierter iOS-Systeme zu Command-and-Control-Servern.
Diese werden ausgelöst von Anwendungen (Apps) die durch XcodeGhost, eine manipulierte Variante der genannten Entwicklungsumgebung, erzeugt wurden.

XcodeGhost^ix

Funktionsweise

Die Infektion durch XcodeGhost erfolgt über die Datei 'CoreServices'. Im Unterschied zu früherer iOS- und OS X-Schadsoftware, handelt es sich hierbei weder um eine ausführbare Mach-O Anwendung noch eine Programmbibliothek, sondern eine Mach-O Objektdatei. Diese wird vom LLVM-Linker benutzt und kann nicht direkt ausgeführt werden. In iOS enthalten die CoreServices viele der grundlegenden Systemdienste und werden von nahezu allen komplexeren iOS-Apps verwendet. Wird eine solche App kompiliert, sucht Xcode nach dem CoreServices-Framework in vorab definierten Pfaden, um es mit der Anwendung zu verknüpfen.

XcodeGhost implementiert Schadcode in einer eigenen CoreServices Objektdatei und kopiert diese an einen Ort im voreingestellten Suchpfad von Xcode. Auf diese Weise wird der Schadcode aus den manipulierten CoreServices mit jeder künftigen kompilierten App verbunden.

Verbreitung

Der Download der originalen Xcode Entwicklungsumgebung (annähernd 3GB) von Apples Servern ist von manchen Orten, neben anderen aus der VR China, sehr langsam, so dass der Wunsch nach lokalen Alternativen entsteht. Nach Bekanntwerden von XcodeGhost ergab eine Suche nach „Xcode 下载” (Xcode downloading), dass in den Monaten zuvor zahlreiche Verweise in populären Foren und Websites gepostet worden waren, die zu kompromittierten Downloads auf Baidu Yunpan (einem chinesischen File-Hosting und -Sharing Dienst) führten.
Mit durch XcodeGhost erstellten Apps wurde, nach LBTM, InstaStock, FindAndCall, Jekyll und FakeTor, zum sechsten Mal eine Malware im offiziellen App Store entdeckt. Nach Verlautbarung von Apple wurden 25 kompromittierte Anwendungen ermittelt, nach Angaben von FireEye konnten jedoch mehr als 4000 identifiziert werden.^x Unter diesen befanden sich verschiedene mit - zumindest in China - erheblicher Verbreitung.

Ausblick

Wenngleich die Idee eines kompromittierten Compilers bereits über 30 Jahre alt ist^xi, zeigte XcodeGhost eine einfache Methode, Anwendungen mit Schadcode zu infizieren. Für den erfolgreichen Angriff ist das Herunterladen eines manipulierten Xcode im Grunde nicht erforderlich. Eine OS X-Schadsoftware, welche ohne besondere Berechtigungen infizierte Objektdateien direkt in den Suchpfaden von Xcode ablegt, ist hierfür bereits ausreichend.
Die durch Xcode infizierten Apps haben in vielen Fällen den Code Review des Apple App Store auch deshalb ohne Beanstandung durchlaufen, da sie sich auf wenig auffälliges Verhalten beschränkten. Es sind jedoch Szenarien denkbar, in denen Anwendungen einer weniger strengen Kontrolle unterliegen, z.B. bei direkter Verbreitung im Web oder als Eigenentwicklung von Unternehmen. Hier könnten sich auch weitreichendere Manipulationen erfolgreich verbreiten.

Fazit

Alle Betriebssysteme bergen Verwundbarkeiten. Entscheidend für die Frage nach deren Ausnutzung durch Schadsoftware ist letztlich, ob es einen Angreifer gibt, der diese als lohnenswert erachtet. Erfolgreiche Angriffe sind ohne ein risikobewusstes Verhalten der Anwender auch in einer gesicherten und geprüften Umgebung möglich, die Wahrscheinlichkeit ihres Eintretens nicht planbar. Daher sollten auch Nutzer heute als 'sicher' wahrgenommener Systeme wie z.B. OS X oder Linux Hinweise zu aktuellen Bedrohungen sehr wohl ernst nehmen.

----------------------------------------------------------------------------