De onderzoekers die volgende week tijdens het 23ste Usenix Security Symposium in San Diego zullen laten zien hoe ze door middel van besmette Windowscomputers een botnet van iPhones kunnen maken zeggen dat Apple teveel vertrouwen in de USB-verbinding van de iPhone heeft.

De onderzoekers demonstreerden vorig jaar ook al een aanval op de Apple App Store. Dit jaar zochten ze naar een andere manier om iPhones aan te vallen en kwaadaardige apps op het toestel te installeren. De aanvalsvector werd een besmette Windowscomputer waarop een iPhone-gebruiker zijn toestel aansluit. Dit was echter pas de eerste stap, aangezien er ook nog een manier moest worden gevonden om malware op het toestel te krijgen.

Installatie

Om een app uit de App Store te installeren vereist Apple dat een gebruiker op zijn account is ingelogd. Onderzoeker Tielei Wang en zijn team ontwikkelden een man-in-the-middle-aanval waardoor het mogelijk is om een kwaadaardige app op het aangesloten toestel te krijgen via het Apple ID van iemand anders. Zolang de app namelijk over een digitale handtekening van Apple beschikt hoeft het niet eens via de App Store te worden aangeboden, maar kan het ook van een andere plek afkomstig zijn.

Om apps buiten de App Store te kunnen installeren geeft Apple ontwikkelaarscertificaten uit. Deze certificaten zijn bedoeld voor ontwikkelaars die hun eigen applicaties intern willen verspreiden. Met deze certificaten kunnen applicaties worden gesigneerd. Het team van Wang ontdekte daarnaast een manier waarop ze stiekem een bestand op aangesloten iPhones kunnen zetten waardoor de zelfgesigneerde certificaten worden geaccepteerd. De gebruiker krijgt hierbij geen waarschuwing te zien.

Onzichtbaar

"Het hele proces kan worden uitgevoerd zonder dat de gebruiker dit weet", zegt Wang tegenover PC World, die dit als een kwetsbaarheid omschrijft. "We vinden dat Apple teveel vertrouwen in de USB-verbinding heeft." De onderzoekers zouden Apple over hun onderzoek hebben ingelicht, waarop het bedrijf maatregelen nam. Zo verschijnt er nu een waarschuwing als een iOS-apparaat voor de eerste keer op een computer wordt aangesloten. In de waarschuwing staat dat er alleen met betrouwbare computers verbinding moet worden gemaakt.

Zelfs als een aanvaller via deze methode malware op het toestel weet te krijgen staat Apple niet machteloos. Het kan namelijk ook de certificaten van ontwikkelaars intrekken en applicaties op het toestel op afstand uitschakelen. Een grootschalige aanval ligt misschien dan ook minder voor de hand. Een gerichte aanval op een paar gebruikers, waarbij de aanvallende partij weet wie erachter de computer zit, zou in dit geval mogelijk praktischer zijn.