Onderzoekers van Google ontdekten vorig jaar verschillende kwetsbaarheden in iOS waarmee het mogelijk was om iPhones op afstand en zonder interactie van gebruikers over te nemen. Eén van deze aanvallen, waarvoor Apple afgelopen augustus een eerste update uitbracht, heeft het techbedrijf nu in detail beschreven.

De kwetsbaarheid die de aanval mogelijk maakte bevond zich in iMessage. Om de aanval uit te voeren was het voor een aanvaller alleen nodig geweest om over het Apple ID van de gebruiker te beschikken (telefoonnummer of e-mailadres). Door het versturen van alleen een kwaadaardig bericht was de iPhone van het doelwit binnen een paar minuten over te nemen. Hierna had de aanvaller wachtwoorden, 2FA-codes, e-mails, sms en andere berichten en data kunnen stelen. Ook hadden de microfoon en camera op afstand kunnen worden ingeschakeld.

"Het onderzoek werd vooral gedreven door de volgende vraag: is het met alleen remote geheugencorruptielek mogelijk om zonder verdere kwetsbaarheden en enige interactie van de gebruiker willekeurige code op afstand uit te voeren? Dat is inderdaad mogelijk, zoals we in dit blog laten zien", aldus Samuel Gross van Google.

Beveiligingsupdate

Apple werd op 29 juli over de kwetsbaarheid geïnformeerd. Op 26 augustus verscheen met iOS 12.4.1 een eerste beveiligingsupdate van Apple die ervoor zorgde dat de kwetsbare code niet via iMessage bereikbaar was. Met de release van iOS 13.2 op 28 oktober werd het beveiligingslek volledig verholpen. Tevens stelt Gross dat Google verschillende suggesties aan Apple heeft gedaan om soortgelijke aanvallen in de toekomst lastiger te maken.

Naast het beschrijven van de aanval heeft Google ook een proof-of-concept exploit beschikbaar gemaakt voor iOS 12.4. Om misbruik tegen te gaan krijgt het slachtoffer tijdens de aanval verschillende meldingen te zien. Daarnaast zorgt de exploit niet voor het uitvoeren van shellcode, waardoor die lastiger met andere kwetsbaarheden is te combineren.

Toch kan een ervaren aanvaller de exploit van Google aanpassen, zo waarschuwt Gross. Hij merkt daarbij op dat ervaren aanvallers waarschijnlijk al over deze mogelijkheid beschikken, bijvoorbeeld doordat ze zelf de kwetsbaarheid hebben gevonden of de patches van Apple hebben geanalyseerd.