In India zijn dertien iPhones via mobile device management (MDM) met malware besmet die onder andere berichten van WhatsApp en Telegram onderschept, zo meldt Cisco dat in het onderzoek naar de aanval met Apple samenwerkte. Via MDM is het mogelijk voor een beheerder om op afstand bijvoorbeeld applicaties te installeren en verwijderen en instellingen door te voeren. Een toestel moet echter eerst voor MDM worden aangemeld.

Een aanvaller kan dit doen door fysieke toegang tot een iPhone te verkrijgen of het slachtoffer via social engineering te verleiden om de benodigde acties uit te voeren. Hoe het bij dertien ontdekte iPhones is gebeurd, is op dit moment onbekend. Bij de nu waargenomen aanval werd er kwaadaardige code in WhatsApp, Telegram en andere legitieme apps geïnjecteerd. Met deze code is het mogelijk om informatie op het toestel te verzamelen en terug naar de aanvaller te sturen, zoals telefoonnummer, serienummer, locatie, contacten, foto's, sms-, Telegram- en WhatsApp-berichten.

Aan de hand van logbestanden op de MDM-server en malware-server blijkt dat de malware al sinds augustus 2015 in gebruik is. De aanvallers hadden het voorzien op totaal dertien toestellen, allemaal in India. Op de server troffen de onderzoekers ook andere data aan, zoals verzamelde e-mails en gebruikersnamen. Voor het uitvoeren van de aanval hadden de aanvallers bij Apple drie MDM-certificaten aangevraagd en ook gekregen. Deze certificaten zijn inmiddels ingetrokken.

"MDM wordt steeds populairder onder grote bedrijven en gebruikers moeten weten dat het installeren van aanvullende certificaten op hun toestel om remote beheer toe te staan kan resulteren in mogelijk kwaadaardige activiteiten. Door een certificaat buiten de door iOS vertrouwde certificaatketen te installeren open je jezelf voor mogelijke aanvallen zoals deze", aldus Warren Mercer van Cisco.