Onderzoekers hebben een aanval ontdekt gericht tegen iPhone-gebruikers in Hong Kong waarbij een malafide website automatisch een backdoor installeert op toestellen met oude iOS-versies. De backdoor wordt "LightSpy" genoemd en is volgens antivirusbedrijf Trend Micro nieuwe iOS-malware.

Voor de installatie van de malware maken de aanvallers gebruik van kwetsbaarheden in iOS 12.1 en 12.2. Het zou specifiek om kwetsbaarheden in Safari en de iOS-kernel gaan. Voor deze beveiligingslekken verscheen op 13 mei 2019 met iOS 12.3 een update. Om gebruikers naar de malafide website te lokken plaatsten de aanvallers verschillende links op populaire forums in Hong Kong.

De links wezen naar artikelen over corona, seks en andere zaken. Wanneer de links werden geopend laadden die via een iframe een legitiem artikel. Onzichtbaar voor gebruikers werd er via een ander iframe een exploit uitgevoerd. Deze exploit werkte alleen als iPhone-gebruikers hun toestel niet hadden geüpdatet. Wanneer de aanval succesvol was werd de Lightspy-malware geïnstalleerd. De onderzoekers omschrijven de malware als een modulaire backdoor.

Lightspy geeft aanvallers volledige controle over de iPhone en bevat verschillende modules voor het stelen van data, waaronder gebruikte wifi-netwerken, contacten, gps-locatie, hardwaregegevens, iOS-keychain, telefoongeschiedenis, Safari- en Chrome-geschiedenis, sms-berichten en data van de chat-apps Telegram, QQ en WeChat.

Uit onderzoek van Trend Micro blijkt dat Androidgebruikers vorig jaar het doelwit van een soortgelijke aanval waren, alleen werd er dan gelinkt naar malafide apk-bestanden die zogenaamd legitieme apps zouden zijn. Bij deze aanval werd er geen gebruik gemaakt van kwetsbaarheden, maar werden gebruikers verleid om de malafide apps te installeren. De apps konden contacten en sms-berichten stelen.

"De opzet van de operatie suggereert dat die niet op slachtoffers is gericht, maar zoveel mobiele telefoons probeert te compromitteren voor surveillance", zegt onderzoeker Joseph Chen. Volgens de onderzoeker kunnen gebruikers zich eenvoudig tegen de aanval beschermen door updates voor hun telefoon te installeren en in het geval van Android alleen apps uit vertrouwde appstores te gebruiken.