De iPhone worm die sinds eind vorige week in Nederland actief is, heeft de aanval op ING-klanten geopend, zo laat XS4ALL aan Security.nl weten. Gebruikers met een geïnfecteerde telefoon die naar mijn.ing.nl gaan, worden doorgestuurd naar een phishingsite in Japan. Tevens zoekt de malware in de SMS-database van de iPhone naar TAN-codes en gedraagt zich anders zodra het die vindt. "Dat is op zichzelf niet nieuw, maar het laat zien dat de aanval financieel gemotiveerd is", zegt Security Officer Scott McIntyre. Volgens McIntyre zitten er georganiseerde banking hackers achter de malware, die tevens voor het eerste iPhone-botnet verantwoordelijk is.

De plotselinge aanval op ING-klanten heeft mogelijk met het grote aantal geïnfecteerde gejailbreakte Nederlandse iPhones te maken. "Waarschijnlijk zagen de aanvallers in de logs dat veel iPhones uit Nederland afkomstig waren." Daardoor was het eigenlijk een logische tweede stap om een grote Nederlandse bank aan te vallen die met TAN-codes werkt. Of er al bankrekeningen van ING-klanten door de worm zijn geplunderd, is op dit moment onbekend. Zowel het Computer Incident Response Team van ING als het Japanse Computer Emergency Response Team zijn ingelicht.

Echte worm
Het komt niet vaak voor dat een Security Officer van een internetprovider de eerste worm voor een geheel nieuw platform ontdekt. Toch was McIntyre niet zo verrast. "Eindelijk een echte worm was mijn eerste gedachte", zo merkt hij op. Security professionals hadden hier al lange tijd rekening mee gehouden, zeker omdat veel "jailbreakers" kwetsbaar zijn. Volgens schatting is zo'n 7% van alle iPhones gejailbreakt. Gebruikers moeten echter zelf SSH installeren. Vaak gebeurt dit diir gebruikers die niet weten waarmee ze bezig zijn en vervolgens de standaard SSH-login niet wijzigen. Daardoor is het kinderspel voor de worm om de mobiele telefoon vervolgens te kapen.

Het feit dat XS4ALL als eerste de worm ontdekte, komt volgens McIntyre omdat de provider altijd al zeer alert op dreigingen en internetveiligheid is. "Een stukje verantwoordelijkheid." Toen de Security Officer de verdachte activiteit op het netwerk waarnam, stelde hij direct een onderzoek in, met als uitkomst de nog altijd naamloze worm. Waarom T-Mobile geen alarm sloeg durft hij niet te zeggen. "Misschien hebben ze daar geen Security Officer met slaaptekort."

Rol Apple
Ondanks de verantwoordelijkheid van gebruikers voor hun eigen telefoon, is ook Apple deels schuldig, zo gaat McIntyre verder. "Apple moet de noodzaak voor jailbreaken wegnemen. Het is duidelijk dat mensen niet blij zijn met de vendor lock-in." Het gaat dan om de werking van de app-store en de gesloten omgeving waarin veel gebruikers zich gevangen voelen. Hoe Steve Jobs en kornuiten dit moeten doen laat hij in het midden. De IT-gigant uit Cupertino heeft nog niet op de nieuwste uitbraak gereageerd, maar liet tijdens de Ikee worm weten dat het iemand zoekt die iPhone beter tegen jailbreakers kan beveiligen.