Intellexa Alliance: Predator-Spyware für Apple-Geräte (Kamera, Mikrofon)

Von der Intellexa Alliance wurde die Spyware Predator entwickelt. Diese kann weiterhin Nutzer von Apple-Geräten unbemerkt per Kamera und Mikrofon ausspionieren. Jamf Threat Alert hat mir die Tage einige Details aus einer Analyse zukommen lassen.

Das Team von Jamf Threat Alert zeigt sich überrascht ob der technischen Ausgereiftheit der von Intellexa Alliance entwickeltem Spyware "Predator". In einer Analyse wird dokumentiert, wie bereits im Umlauf befindliche, kommerzielle Spyware (Predator) nach einer Kompromittierung funktioniert.

Spyware deaktiviert Aufzeichnungsanzeigen

Das Threat-Labs-Team von Jamf hat nach weiteren Analysen festgestellt, dass die Spyware in der Lage ist, auf Apple-Geräten die Aufzeichnungsanzeigen zu deaktivieren. Apple hat diese Anzeigen mit der iOS-Version 14 zum Schutz der Privatsphäre von Nutzern eingeführt. Es handelt sich dabei um kleine Punkte, die in der Statusleiste des Geräts angezeigt werden, wenn die Kamera in Kombination mit dem Mikrofon (grüner Punkt) oder nur das Mikrofon (oranger Punkt) aktiviert sind.

Legitime Anwendungen können diese Anzeigen nicht unterdrücken, die Predator-Spyware jedoch ist genau dazu in der Lage, indem sie die vom Anzeigesystem genutzten Sensoraktivitäten an einem zentralen Knotenpunkt abfängt, bevor diese die Benutzeroberfläche erreichen. Zudem setzt sie den Objective-C-Selbstzeiger von kritischen Objekten vor Methodenausführung auf NULL, sodass Änderungen des Aufzeichnungsstatus ohne Fehlermeldung oder Anzeigen auf der Benutzeroberfläche verworfen werden.

Relevanz und Implikationen

Mit diesem Ansatz können Angreifer mithilfe der Predator-Spyware Gerätenutzer per Kamera und Mikrofon unbemerkt überwachen. Dass dies auf iOS-Geräten theoretisch technisch möglich ist, ist bereits seit 2022 bekannt, Predator ist jedoch die erste kommerziell verfügbare Spyware, die diesen Ansatz nutzt.

Dies deutet darauf hin, dass bei der Entwicklung der Predator-Spyware aktuelle Erkenntnisse aus der Sicherheitsforschung berücksichtigt wurden. Es ist wahrscheinlich, dass Predator für Sicherheitsexperten und Endnutzer noch weitere Überraschungen bereithalten wird. Die Spyware stellt deshalb nach wie vor ein signifikantes Risiko für die Privatsphäre und die Daten von Apple-Nutzern dar. Die vollständige Analyse des Threat-Labs-Teams finden sich im Artikel How Predator spyware defeats iOS recording indicators.