Apple hat eine Reihe neuer Updates für iOS, macOS und watchOS veröffentlicht, um einen Fehler zu beheben, der laut Sicherheitsforschern des Citizen Lab sehr wahrscheinlich ausgenutzt wurde, um es Regierungsbehörden zu ermöglichen, Spyware auf den Telefonen von Journalisten, Anwälten und Aktivisten zu installieren. Die Forscher sagen, dass der Fehler eine „Null-Klick“-Installation (was bedeutet, dass das Ziel nichts tun musste, um infiziert zu werden) der Pegasus-Spyware ermöglichte, die Berichten zufolge in der Lage ist, Daten und Passwörter zu stehlen und das Mikrofon eines Telefons zu aktivieren, oder Kamera. Sie können unseren Pegusus-Erklärer hier für weitere Details lesen.
Angesichts der Schwere des Exploits sollten Sie so bald auf iOS 14.8, macOS Big Sur 11.6 und watchOS 7.6.2 aktualisieren wie du kannst.
Auf der Update-Seite von Apple ist bekannt, dass „einen Bericht bekannt ist, dass dieses Problem möglicherweise aktiv ausgenutzt wurde“.
Wir hörten im August von dem Exploit, als Citizen Lab berichtete, dass er erfolgreich gegen Telefone mit iOS 14.6 (veröffentlicht im Mai) eingesetzt wurde. Citizen Lab sagte auch, dass die Schwachstelle, die den Codenamen „ForcedEntry“ trägt, mit dem Verhalten eines Exploits übereinstimmt, über den Amnesty International im Juli geschrieben hat. Damals schrieben die Sicherheitsforscher, dass dies durch einen Fehler im CoreGraphics-System von Apple möglich wurde und passierte, als das Telefon versuchte, eine Funktion im Zusammenhang mit GIFs zu verwenden, nachdem es eine SMS mit einer schädlichen Datei erhalten hatte.
Aber selbst mit diesen Informationen könnte es schwierig sein, genau zu bestimmen, was passiert ist, ohne auf die infizierten Dateien selbst zuzugreifen. Laut Citizen Lab entdeckten sie Dateien, als sie ein Backup des gehackten Telefons eines Aktivisten erneut analysierten. Die Dateien schienen GIFs zu sein, die als SMS-Anhänge gesendet wurden, waren jedoch in Wirklichkeit PSDs und PDFs. (In den Update-Notizen von Apple heißt es, dass das Problem bei der Verarbeitung einer in böser Absicht erstellten PDF-Datei aufgetreten ist.) Citizen Lab vermutete, dass sie mit Pegasus in Verbindung stehen könnten, und schickte die Dateien am 7. September an Apple. Apple hat am 13. September die Software-Updates veröffentlicht, die den Fehler beheben.
iOS 14.8 konzentriert sich anscheinend nur auf die Sicherheit
Einige der Updates vom Montag beheben auch ein zweites Sicherheitsproblem mit WebKit für iOS und macOS Big Sur (es wird in den Versionshinweisen für Catalina nicht erwähnt). Obwohl unklar ist, ob es mit den Exploits von NSO zusammenhängt – seine Entdeckung wird einem „anonymen Forscher“ anstelle von Citizen Lab zugeschrieben und befindet sich in einem anderen Teil des Systems – Apple sagt immer noch, dass es „möglicherweise aktiv ausgenutzt wurde“.
Ein so dringendes Sicherheitsproblem erklärt, warum wir nur einen Tag vor einem Apple-Event ein neues Update für iOS sehen, bei dem voraussichtlich neue Telefone angekündigt werden, auf denen diese Version des Betriebssystems wahrscheinlich nie ausgeführt wird. Dennoch gibt es seit Anfang August Gerüchte über eine Veröffentlichung von iOS 14.8, aber da die Veröffentlichung vom Montag anscheinend nur die im September entdeckten Sicherheitsprobleme behandelt, ist es möglich, dass wir mindestens eine weitere Version von iOS 14 sehen werden.
Halten Sie Ihre Geräte auf dem neuesten Stand
Das PDF-Rendering von CoreGraphics scheint in letzter Zeit in Bezug auf die Sicherheit problematisch gewesen zu sein. iOS 14.7 enthielt auch einen Fix für ein scheinbar separates Problem mit dem System, das auch zur Ausführung willkürlichen Codes führen konnte. WebKit hat kürzlich auch einige Updates erhalten, um Sicherheitsprobleme zu beheben, von denen Apple sagt, dass sie „aktiv ausgenutzt wurden“. Als im August die Nachricht vom CoreGraphics-Exploit bekannt wurde, teilte Apple TechCrunch mit, dass es an der Verbesserung der Sicherheit für iOS 15 arbeite.
All dies dient als Erinnerung daran, wie wichtig es ist, alles zu behalten Ihre Geräte auf dem neuesten Stand. Auch wenn Sie sich hoffentlich nie auf der schlechten Seite einer Regierung befinden, die fortschrittliche Spyware verwendet, ist es dennoch eine gute Idee, sicherzustellen, dass Ihr Gerät nicht anfällig für weit verbreitete Sicherheitslücken ist. Glücklicherweise plant Apple, Benutzern die Installation von Sicherheitsupdates für iOS 14 zu ermöglichen, ohne auf iOS 15 aktualisieren zu müssen, was für zukünftige Fehlerbehebungen nützlich sein könnte. Vorerst sollten Sie jedoch alle Ihre Geräte so schnell wie möglich aktualisieren.