Letztes Jahr hat Apple eine neue Funktion für iPhone-Benutzer eingeführt, die befürchten, Ziel raffinierter Spyware zu werden, wie etwa Journalisten oder Menschenrechtsverteidiger. Jetzt sagen Forscher, dass sie Beweise dafür gefunden haben, dass die Funktion – genannt Sperrmodus – dazu beigetragen hat, einen Angriff von Hackern mit Spyware zu blockieren, die vom berüchtigten Söldner-Hacking-Anbieter NSO Group hergestellt wurde.

Am Dienstag hat die Cybersicherheits- und Menschenrechtsforschungsgruppe Citizen Lab einen Bericht veröffentlicht Analyse von drei neuen Zero-Day-Exploits in iOS 15 und iOS 16 – was bedeutet, dass Apple sich der Schwachstellen zu diesem Zeitpunkt nicht bewusst war verwendet, um zu zielen mindestens zwei mexikanische Menschenrechtsverteidiger.

Einer dieser Exploits wurde durch den Sperrmodus blockiert, fanden die Forscher heraus. Der Lockdown-Modus wurde speziell entwickelt, um die Angriffsfläche des iPhones zu reduzieren – Cybersecurity-Jargon, der sich auf Teile des Codes oder Funktionen eines Systems bezieht, die anfällig für Angriffe durch Hacker sind. Dies ist der erste dokumentierte Fall, in dem der Sperrmodus jemanden erfolgreich vor einem gezielten Angriff geschützt hat.

In den jüngsten Fällen sagten die Forscher von Citizen Lab, dass die iPhones der Opfer die Hacking-Versuche blockierten und eine Benachrichtigung anzeigten, dass der Sperrmodus jemanden daran hinderte, auf die Home-App des Telefons zuzugreifen. Die Forscher stellen jedoch fest, dass es möglich ist, dass die Exploit-Entwickler von NSO irgendwann „einen Weg gefunden haben, das Benachrichtigungsproblem zu beheben, z. B. durch Fingerabdrücke im Sperrmodus“.

Wie andere Forscher in der Vergangenheit betont haben, Es ist einfach, Benutzern Fingerabdrücke zu geben, um festzustellen, wer den Sperrmodus aktiviert hat, aber das heißt nicht, dass sein Schutz nicht sinnvoll ist. Wie dieser von Citizen Lab gefundene Fall zeigt, kann der Lockdown-Modus effektiv sein.

„Die Tatsache, dass der Lockdown-Modus einen realen Null-Klick-Angriff vereitelt und sogar Ziele benachrichtigt zu haben scheint, zeigt, dass dies eine wirksame Abwehr darstellt und Anlass zu großem Optimismus gibt“, sagt Bill Marczak, Senior Researcher am Citizen Lab und einer der Autoren des Berichts, sagte TechCrunch. „Aber wie bei jedem optionalen Feature steckt der Teufel immer im Detail. Wie viele Personen werden sich dafür entscheiden, den Sperrmodus zu aktivieren? Werden Angreifer einfach von der Ausnutzung von Apple-Apps weggehen und Apps von Drittanbietern ins Visier nehmen, die für den Lockdown-Modus schwieriger zu sichern sind?“

Apple-Sprecher Scott Radcliffe sagte in einer Erklärung: „Wir freuen uns zu sehen, dass der Lockdown-Modus diesen ausgeklügelten Angriff unterbrochen und die Benutzer sofort alarmiert hat, noch bevor die spezifische Bedrohung Apple und den Sicherheitsforschern bekannt war. Unsere Sicherheitsteams auf der ganzen Welt werden weiterhin unermüdlich daran arbeiten, den Sperrmodus voranzutreiben und die Sicherheit und den Datenschutz in iOS zu stärken.“

Der Sprecher der NSO Group, Liron Bruck, antwortete nicht auf eine Reihe von Fragen, sondern schickte eine Erklärung, in der es heißt: „Citizen Lab hat wiederholt Berichte erstellt, die nicht in der Lage sind, die verwendete Technologie zu bestimmen, und sie weigern sich, ihre zugrunde liegenden Daten weiterzugeben. NSO hält sich an strenge Vorschriften und seine Technologie wird von seinen Regierungskunden zur Bekämpfung von Terror und Verbrechen auf der ganzen Welt eingesetzt.“

Der Bericht von Citizen Lab identifizierte drei verschiedene Exploits – alle „Zero-Click“, was bedeutet, dass sie keine Interaktion durch das Ziel erforderten – durch die Analyse mehrerer Telefone, die im Verdacht standen, mit NSOs Spyware, auch bekannt als Pegasus, gehackt worden zu sein.

Pegasus, das NSO ausschließlich an Regierungskunden verkauft, kann aus der Ferne den Standort eines Telefons, Nachrichten, Fotos und praktisch alles abrufen, auf das der rechtmäßige Besitzer des Telefons zugreifen kann. Seit Jahren haben Forscher von Citizen Lab, Amnesty International und anderen Organisationen mehrere Fälle dokumentiert, in denen NSO-Kunden die Spyware des Unternehmens als Ziel verwendeten Journalisten, Menschenrechtsverteidiger Und Oppositionspolitiker.

Die neuen Ergebnisse von Citizen Lab zeigen, dass NSO trotz der schwierigen letzten Jahre immer noch am Leben ist. 2021 ein internationales Konsortium von Medienorganisationen startete das Pegasus-Projekt, eine Reihe von Artikeln, in denen NSO-Skandale auf der ganzen Welt detailliert beschrieben werden. Dann, später in diesem Jahr, setzte die US-Regierung NSO auf eine Denylist und verbot damit praktisch jedem US-Unternehmen oder jeder Person, Geschäfte mit dem Unternehmen zu tätigen.

„Andere Unternehmen haben geschlossen, aber NSO ist zumindest vorerst noch in der Lage, diese gestiegenen Kosten zu tragen, und Pegasus bleibt eine aktive Bedrohung für die globale Zivilgesellschaft“, sagte Marczak.

Von den jüngsten Exploits: Der erste Exploit wurde im Januar 2022 von NSO-Kunden eingesetzt und nutzte die FindMy-Funktion des iPhones aus, die Besitzern hilft, ihre verlorenen oder gestohlenen Telefone zu finden. Der zweite Exploit, der ab Juni 2022 eingesetzt wird, ist ein „zweistufiger“ Exploit, d. h. er zielt auf zwei Funktionen ab, in diesem Fall auf die FindMy-Funktion und iMessage. Und der letzte Exploit, der ab Oktober 2022 eingesetzt wurde, nutzte die HomeKit- und iMessage-Funktionalitäten des iPhones aus.

In seinem Bericht sagte Citizen Lab, dass die beiden von den Exploits betroffenen Mexikaner Menschenrechtsverletzungen untersuchen, die angeblich vom mexikanischen Militär begangen wurden. Die mexikanische Regierung ist ein bekannter Spyware-Kunde.

Citizen Lab hat all diese Exploits an Apple gemeldet, die seitdem Updates vorangetrieben und die Angriffsfläche reduziert haben. Apple hat die HomeKit-basierte Schwachstelle in iOS 16.3.1 behoben, das im Februar veröffentlicht wurde.

Haben Sie weitere Informationen über die NSO Group? Oder ein anderer Anbieter von Überwachungstechnik? Wir würden uns freuen, von Ihnen zu hören. Sie können Lorenzo Franceschi-Bicchierai sicher über Signal unter +1 917 257 1382 oder über Wickr, Telegram und Wire @lorenzofb oder per E-Mail an [email protected] kontaktieren. Sie können TechCrunch auch über SecureDrop kontaktieren.