De nieuwe Apple-malware waarover nu in de media wordt bericht heeft Chinese softwarepiraten als voornaamste doelwit, zo stelt een bekende iOS-beveiligingsonderzoeker. Het gaat om de WireLurker-malware die zich via een onofficiële Chinese app store verspreidt en in illegale apps verstopt zit.

De malware werkt alleen op 64-bit Mac OS X machines, aangezien er geen code voor 32-bit machines is. WireLurker wacht totdat het rootrechten heeft en installeert zich dan als een "system daemon" op het systeem. De malware wacht vervolgens totdat een iOS-toestel wordt aangesloten en maakt dan gebruik van de pairing-relatie tussen de desktop en het toestel om serienummer, telefoonnummer, iTunes store identificatie en andere identificeerbare gegevens te verzamelen, die vervolgens naar een remote server worden gestuurd.

Ook probeert WireLurker kwaadaardige exemplaren van onschuldig lijkende apps op het toestel te installeren. Als het toestel is gejailbreakt en afc2 heeft ingeschakeld, wordt er gevaarlijkere software geïnstalleerd die de iMessage-geschiedenis, adresboek en andere bestanden op het toestel leest en steelt.

"WireLurker is vooral bezig met het identificeren van de toesteleigenaar, in plaats van het stelen van grote hoeveelheden data of het uitvoeren van destructieve acties op het toestel. In andere woorden, WireLurker lijkt zich vooral op de identiteiten van Chinese softwarepiraten te richten", zegt iOS-beveiligingsonderzoeker Jonathan Zdziarski. Inmiddels is er een tool om de malware op Mac-computers te detecteren. Zdziarski adviseert daarnaast dat gebruikers LittleSnitch installeren om zo kwaadaardige uitgaande verbindingen te detecteren.

Apple

De onderzoeker stelt dat het werkelijke probleem niet WireLurker is, maar het pairing-mechanisme van iOS dat door aanvallers kan worden misbruikt. De onderzoeker vindt dat Apple ook meer kan doen om dit soort uitbraken te voorkomen. Zo zou de iPhone gebruikers beter moeten waarschuwen voordat er applicaties worden geïnstalleerd. Daarnaast zouden de pairing-relaties op dezelfde manier moeten worden beheerd zoals permissies voor contacten en geolocatie worden beheerd. "Ik ben niet bang voor WireLurker, maar ik maak me zorgen dat deze techniek in de toekomst als wapen kan worden gebruikt, en een bruikbare manier is om machines in de publieke en private sector aan te vallen", aldus Zdziarksi.