Begin deze maand waarschuwde antivirusbedrijf Kaspersky voor een wereldwijde aanval waarbij iPhones al jarenlang onopgemerkt via een zeroclick-aanval met spyware worden geïnfecteerd. De virusbestrijder heeft nu meer informatie over de "TriangleDB" spyware gegeven en suggereert dat er ook een versie voor macOS bestaat.

De zeroclick-aanval op iPhones vindt plaats via een onzichtbare iMessage met een malafide bijlage, die verschillende kwetsbaarheden in iOS gebruikt voor het installeren van spyware, liet de virusbestrijder eerder al weten. Voor de aanval is geen enkele interactie van gebruikers vereist. Vervolgens verstuurt de spyware privégegevens naar de aanvallers. Het gaat om opnames via de microfoon, foto's van chatapps, locatiegegevens en data over verschillende andere activiteiten van de eigenaar van de besmette iPhone.

Na het uitvoeren van de aanval worden zowel het bericht als de bijlage verwijderd en blijven er weinig sporen op de telefoon achter die op de aanwezigheid van de malware duiden. Deze sporen zijn echter wel via een back-up van de iPhone te achterhalen. Kaspersky ontdekte de spyware na verdacht verkeer op het eigen netwerk. Volgens Eugene Kaspersky, oprichter van het antivirusbedrijf, zijn tientallen iPhones van het middenmanagement en de directie besmet geraakt. Het bedrijf zou echter niet het primaire doelwit van de aanval zijn.

In een vandaag verschenen update over de spyware stelt Kaspersky dat die wordt geïnstalleerd nadat de aanvallers, door misbruik te maken van een kwetsbaarheid in de kernel, rootrechten op de iPhone hebben gekregen. Verder draait de spyware volledig in het geheugen van de telefoon, wat inhoudt dat die volledig wordt verwijderd na het herstarten van de telefoon. In het geval de telefoon niet wordt herstart zal de spyware zichzelf na dertig dagen verwijderen, tenzij de aanvallers deze periode verlengen.

Verder blijkt dat de spyware een commando kan krijgen om gestolen gegevens alleen via wifi te versturen. Ook worden permissies van het besturingssysteem gevraagd om toegang tot de camera, microfoon en adresboek te krijgen, of via Bluetooth verbonden apparaten te kunnen gebruiken. Welke kwetsbaarheden de aanvallers voor het infecteren van iPhones gebruiken wordt niet door Kaspersky gemeld.

Tijdens de analyse van de spywarecode vonden de onderzoekers ook een klasse die wordt gebruikt voor de opslag van de spywareconfiguratie. Daarin wordt ook een methode genoemd genaamd "populateWithFieldsMacOSOnly". Deze methode wordt echter nergens in de iOS-spyware aangeroepen. "Het bestaan betekent dat macOS-apparaten ook via soortgelijke spyware kunnen worden aangevallen", aldus onderzoeker Georgy Kucherin. Verdere details over de vermeende macOS-spyware worden echter niet gegeven. Kaspersky is naar eigen zeggen nog bezig met het onderzoek naar de aanval.