Wirelurker richt zich ook via Windows op iPhones en iPads

De iOS-trojan Wirelurker blijkt zich ook via Windows-machines te kunnen richten op iPhones en iPads. Eerder vonden onderzoekers alleen een variant voor OS X. De malware werkt onder Windows alleen als een apparaat gekraakt is.

Bovendien werkt de malware niet altijd; met de twee apparaten waarmee de onderzoekers van Palo Alto Networks de malware uitprobeerden, mislukte het. Wirelurker is een trojan, die zich aan gebruikers presenteert als een installer voor gekraakte iOS-applicaties.Wanneer de gebruiker de app installeert, voegt de trojan daar iOS-malware aan toe.

De onderzoekers vonden de Windows-versie van Wirelurker op een server van de webopslag van Baidu in China. Gebruikers hebben de bestanden op de server in totaal zo'n 65.000 keer gedownload. Onder Windows vraagt de trojan de gebruiker eerst om iTunes te installeren. Vervolgens geeft de trojan aan dat hij wacht op het aansluiten van een iPhone of iPad.

De malware richt zich niet alleen op de 32bit-architectuur, maar is volgens de onderzoekers de eerste die is gericht op de ARMv8-architectuur, waarvan de processors in de iPhone 5s, de iPhone 6-serie en recente iPads zijn gebaseerd. Hoeveel gebruikers geïnfecteerd zijn, is onbekend. De onderzoekers publiceerden eerder deze week informatie over de Mac-versie van Wirelurker.

Reacties (35)

Apple heeft inmiddels applicaties die de Wirelurker malware zouden bevatten geblokkeerd.

Over de manier waarop Apple dat heeft gedaan wordt niet over gesproken, maar ik verwacht dat de OSX applicaties die de malware bevatten door Gatekeeper worden tegen gehouden.

[Reactie gewijzigd door oohh op 7 november 2014 09:15]

Er wordt gebruikt gemaakt van een enterprise certificate. Het slachtoffer moest dat certificate eerst accepteren op het iOS device voordat de malware geinstalleerd kon worden.

Apple heeft nu het certificate ingetrokken zodat het uberhaupt altijd geweigerd wordt.

Het schijnt trouwens dat Gatekeeper dit sowieso al tegenhield en dat Gatekeeper dus eerst door het slachtoffer uitgeschakeld moest zijn.

Wat ik wel verwacht is dat Apple signatures aan XProtect toevoegt zodat het al zodra het op de schijf van een Mac terechtkomt wordt geblokkeerd.

[Reactie gewijzigd door Maurits van Baerle op 7 november 2014 09:27]

Ik mis een beetje wat het doet, en hoe je ziet of je het hebt?

Edit:
Heb het gevonden in het vorige artikel, die had ik gemist.

Op een niet-gejailbreakte telefoon doet WireLurker op dit moment nog weinig kwaad; de malware laadt enkel een stripboek op de telefoon. Op gejailbreakte telefoons wordt een deel van de code van de AliPay- en TaoBao-betaal-apps herschreven om zo het onderscheppen van betalingsgegevens mogelijk te maken.

[Reactie gewijzigd door SamuraiP1zzaCat op 7 november 2014 09:10]

De gegeven link legt het allemaal haarfijn uit, en we hebben ook al gisteren het een-en-ander over kunnen leren.
Je PC met zijn OS (nu dus ook Windows) fungeert als een soort brug tussen de trojan die op jouw iOS device wil komen, en jouw iOS device.

Uit de link wat uiteindelijk het doel is:

The iOS malware these samples attempt to install into iOS devices contains both sfbase.dylib and sfbase.plist files. In our previous report on WireLurker, we mentioned that sfbase.dylib is a MobileSubstrate tweak that steals the user’s contacts information and other private data and sends it to a C2 server.

[Reactie gewijzigd door HMC op 7 november 2014 09:20]

Het komt op mij meer over om in de publiciteit te komen. Ze hebben het zelf geprobeerd maar het was mislukt. Daarnaast moet je aan zoveel vereisten voldoen om de trojan te krijgen. Je moet ten eerste een chinese (onbetrouwbare) App Store gebruiken. Daarna moet je de PC toegang geven tot de iPhone (dus je moet op je iPhone scherm nog eens expliciet toegang geven), daarnaast moet je iPhone ook nog een jailbreak hebben.

"Om in de publiciteit te komen"

Wie als ik vragen mag? (oprechte vraag want interessante stelling. )
Bedoel je Apple, of dat onderzoeksbureau?

[Reactie gewijzigd door HMC op 7 november 2014 09:38]

In de publiciteit komen is zeker een doel, een van de tips die ze geven is dan ook om hun beveiligingssoftware te kopen. Tegelijkertijd is het zeker een interessante ontdekking omdat het de eerste bekende manier is om via die weg iOS aan te valken.

Dat er vervolgens heel veel aandacht aan wordt gegeven in de (mainstream) media, met redelijk over the top headlines, terwijl er in de praktijk zeker in Europa niet veel aan de hand is... Tja, welcome to 2015.

kan zijn dat ik het gemist heb, maar voor zover ik heb kunnen vinden bieden de onderzoekers niets te koop aan, ze hebben alleen een tool online staan (gratis) om de kijken of je besmet bent met wirelurker.

Het is natuurlijk mogelijk dat het gewoon aandacht vragen is, maar vind het wel weer een typische apple gebruikers reactie om het op deze manier af te schepen.

Het is allang bekent dat genoeg apple gebruikers hun iPhone/iPad jailbreaken en er onbekende app stores op installeren om zo gratis software te kunnen downloaden, dus dat het een wazige chinese market betreft is niet zo heel vreemd want elke market die via jailbreak te installeren is, is een wazige onveilige market. Daarmee zijn dus ook al gelijk 2 punten van meneer maximus te niet gedaan.

terwijl er in de praktijk zeker in Europa niet veel aan de hand is...

Moet dat niet zijn dat er NOG niet veel aan de hand is in Europa? hoe lang duurt het voordat er een wazige europese Marketplace voor ios komt? Gebruikers zijn er gevoelig voor om het device te jailbreaken als ze daarmee gratis software kunnen gebruiken, en veiligheid is daarmee ook gelijk ondergeschikt aan de drang voor gratis software, ook hier in Europa.

Stap 1 volgens henzelf om je te beschermen tegen dit virus:

We recommend users take the following actions to mitigate the threat from WireLurker and similar threats:

- Enterprises should assure their mobile device traffic is routed through a threat prevention system using a mobile security application like GlobalProtect

https://www.paloaltonetwo...logies/globalprotect.html

Daarbij zeg ik niet dat het gewoon aandacht vragen is. Ook != gewoon. Ik erken dat het een interessante ontdekking is. Dat jij het toeschrijft aan een 'typische apple gebruikers reactie' zegt denk ik meer over jou dan mij.

Verder is het je bekend dat het niet om een iOS App Store gaat, maar een windows/mac app store? en dat Apple al stappen heeft ondernomen? (Zie reactie oooh en Maurits van Baerle verder beneden).

En ja, natuurlijk kan er in de toekomst van alles gebeuren, met iOS, OS X, Windows, Android, Linux ... Stel je voor men vindt ooit nog een hack in een veelgebruikt protocol als SSL!
Bottom line is dat headlines als :"Mac-malware infecteert iPhones en iPads" en "Virus treft honderdduizenden Apple-producten" toch een andere indruk geven dan wat er aan de hand is, ondanks dat ze feitelijk zeker kloppen.

Dat jij het toeschrijft aan een 'typische apple gebruikers reactie' zegt denk ik meer over jou dan mij.

het was niet persoonlijk naar jou toe, maar het valt me op dat een virus wat gericht is op android of windows of windows Phone altijd gebruikt word om aan te tonen dat het bewuste platform onveilig is, en dat het nu wel heel gemakkelijk afgedaan word met:

Het komt op mij meer over om in de publiciteit te komen

Het is gewoon opnieuw gebleken dat gemakzucht van gebruikers voor nare gevolgen kan zorgen, ongeacht welk platform. Dat dit aangekaart word door onderzoekers is toch wel iets waardevoller dan de beschuldiging dat het aandacht zoeken is.

[Reactie gewijzigd door huntedjohan op 7 november 2014 15:31]

Een groot nadeel aan jailbreaks is dat het dit soort hacks de vrije toegang geeft. Sinds iOS 8 is de nood aan jailbreaking sterk afgenomen met veel meer customizing mogelijkheden, een groot deel wat overblijft zijn de personen die niet willen betalen voor apps of IAP's. Persoonlijk vind ik het het gedoe niet meer waard sinds iOS 5 en zeker in navolging van de berichten die toen al verschenen over mogelijke backdoors en dubieuze veiligheid.

Deels eens, echter zie je nu dus wel dat Jailbreaken onnodig voor risico's zorgt, dit is bij Android, wat dus open is, een stuk minder.

Even een voorbeeld. Popcorn time is nu heel populair. Ik denk dat veel mensen hun iPad of iPhone graag jailbreaken voor deze feature. Dit is bij Android niet nodig.

Op Android is het makkelijk te downloaden, doordat je elke APK van het internet makkelijk kan intstalleren. Maar blijkbaar kan het via een date time hack ook op iOS:

http://www.computeridee.n...eft-geen-jailbreak-nodig/

http://idevicehype.com/do...-ios-8-without-jailbreak/

Het lijkt erop dat het niet bij iedereen lukt, maar bij sommigen is het wel gelukt, zonder jailbreak.

[Reactie gewijzigd door mohf op 7 november 2014 09:20]

Moviebox is gesigneerd met een enterprise certificaat, daarom kan iedereen hem downloaden. Een bedrijf kan een enterprise certificaat krijgen door een proces door te lopen bij Apple, maar ze worden niet zomaar uitgegeven. Het certificaat wat Moviebox gebruikt is inmiddels verlopen, daarom moet je je datum/tijd verzetten. (En ze kunnen waarschijnlijk geen nieuwe krijgen omdat Apple ze niet meer liev vind)

Datum werkt niet meer met iOS 8.1

Deels eens, echter zie je nu dus wel dat Jailbreaken onnodig voor risico's zorgt, dit is bij Android, wat dus open is, een stuk minder.

Even een voorbeeld. Popcorn time is nu heel populair. Ik denk dat veel mensen hun iPad of iPhone graag jailbreaken voor deze feature. Dit is bij Android niet nodig.

Hier moest ik wel een beetje om lachen eigenlijk. Android is door de open houding per definitie gevoeliger voor Malware dan iOS. Toch kaart jij het aan alsof het een pluspunt is.
Android is goed voor 97% voor alle mobiele Malware maar dit is al zo breed geaccepteerd dat je er niets over hoort in het nieuws. Het is niet ongebruikelijk dat zelfs via de officiële appstore telefoons besmet worden. Dus zelfs met jailbreak is iOS significant minder besmet dan Android. Waarom denk je dat deze iOS malware ineens overal in het nieuws is? Omdat het voor het eerst ooit is dat een iPhone op deze manier besmet kan worden.

Al vind ik het persoonlijk nog nergens op slaan, je moet echt ENORM je best doen wil je besmet raken. Elke Mac staat tegenwoordig standaard dicht voor het installeren van ongecertificeerde applicaties van derden. Je moet zelf stappen ondernemen om dit ongedaan te maken. Dus je accepteert daarmee willens en wetens dat je jou beveiliging verlaagd. Als je dan ook nog een louche chinese appstore gaat installeren gebruiken is het toch vragen om problemen? Met Windows zal het vast niet heel veel anders zijn. Al met al een malware van niets, en al helemaal niet voor mensen buiten China.

[Reactie gewijzigd door Typecast-L op 7 november 2014 10:59]

Ok, prima, als jij denkt dat een gejailbreakte iPhone veiliger is dan een stock Android. Dan heeft het inderdaad weinig zin om te discussieren. Want dat is mijn punt, om hetzelfde te kunnen met je iPhone als met Android, moet je je iPhone jailbreaken, en jezelf dus bloot stellen voor malware.

Ook leuk dat je die 97% erbij haalt, gezien het marktaandel "per definitie" al op de 85% zit wereldwijd. Bron

Edit:
Nog een kanttekening bij die 97%.

Android does account for 97% of all mobile malware, but it comes from small, unregulated third party app stores predominantly in the Middle East and Asia. By contrast the percentage of apps carrying malware on Google’s official Play Store was found to be just 0.1%

[Reactie gewijzigd door SamuraiP1zzaCat op 7 november 2014 11:01]

Ok, prima, als jij denkt dat een gejailbreakte iPhone veiliger is dan een stock Android. Dan heeft het inderdaad weinig zin om te discussieren. Want dat is mijn punt, om hetzelfde te kunnen met je iPhone als met Android, moet je je iPhone jailbreaken, en jezelf dus bloot stellen voor malware.

Als je een iPhone jailbreakt kan je het zelf ook wel weer aardig dichttimmeren. Jou opmerking komt een beetje over alsof je eigenlijk helemaal niet zo bekend met jailbreaken en gewoon maar wat roept.
Met het default SSH wachtwoord veranderen , root toegang weer uitschakelen en code signing in te schakelen vang je al een hoop ellende op. Je kan nog wel meer doen maar met alleen deze vrij eenvoudige handelingen vang je 99% van alle exploits al weer op. Als het je lukt om te jailbreaken dan moet je daar ook wel uitkomen, zo niet dan moet je er gewoon niet aan beginnen.

Ook leuk dat je die 97% erbij haalt, gezien het marktaandel "per definitie" al op de 85% zit wereldwijd. Bron

Die 97% slaat op alle mobiele malware. Het marktaandeel van android vs iOS heeft daar toch niets mee te maken?? Voorbeeld: Al was het marktaandeel van Android 10 % dan zou het nog niet uitmaken. Het kan dan nog steeds 97% van de mobiele malware bevatten. Dit houd dit simpelweg in dat de overige besturingssystemen het beter voor elkaar hebben.

[Reactie gewijzigd door Typecast-L op 7 november 2014 11:25]

Met het default SSH wachtwoord veranderen , root toegang weer uitschakelen en code signing in te schakelen vang je al een hoop ellende op. Je kan nog wel meer doen maar met alleen deze vrij eenvoudige handelingen vang je 99% van alle exploits al weer op. Als het je lukt om te jailbreaken dan moet je daar ook wel uitkomen, zo niet dan moet je er gewoon niet aan beginnen.

Hier vergis je je in. Als ik naar elke willekeurige telecom toko ga, kan ik voor 20 euro mijn iPhone laten jailbreaken. Dit is big business. Dat jij en ik zelf kunnen rooten houdt niet in dat iedereen die het doet er verstand van heeft. En zeker met software zoals Popcorn Time, is het op dit moment zeer gewild om je iPhone even te laten jailbreaken. Mensen zijn zich niet bewust dat ze op dat moment met een "lekke" telefoon lopen.

Die 97% slaat op alle mobiele malware. Het marktaandeel van android vs iOS heeft daar toch niets mee te maken??

Natuurlijk wel, het is toch logisch dat als bijna alle mobiele telefoons die in omloop zijn ook zorgen voor veel malware voor dat platform? Als jij malware gaat uitzetten dan zou je toch ook kiezen voor het meest gebruikte platform?

En daarnaast stap je ook wel heel gemakkeijk over het feit heen dat de officiele kanalen van Google vrijwel geen malware bevatten....

[Reactie gewijzigd door SamuraiP1zzaCat op 7 november 2014 11:27]

Hier vergis je je in. Als ik naar elke willekeurige telecom toko ga, kan ik voor 20 euro mijn iPhone laten jailbreaken. Dit is big business. Dat jij en ik zelf kunnen rooten houdt niet in dat iedereen die het doet er verstand van heeft. En zeker met software zoals Popcorn Time, is het op dit moment zeer gewild om je iPhone even te laten jailbreaken.

Ik zeg toch ook niet dat iedereen hier verstand van heeft. Ik zeg dat als je er geen verstand van hebt er beter niet aan kan beginnen. Jij zegt dat het per definitie onveilig is, ik zeg dat dit alleen zo is wanneer je niet weet wat je aan het doen bent.

Natuurlijk wel, het is toch logisch dat als bijna alle mobiele telefoons die in omloop zijn ook zorgen voor veel malware? En daarnaast stap je ook wel heel gemakkeijk over het feit heen dat de officiele kanalen van Google vrijwel geen malware bevatten....

Jij vind het misschien logisch maar het zijn niet de feiten.
Het is een gemeten feit dat Android ongeveer 97% (varieert natuurlijk wel wat door de jaren) van ALLE mobiele malware voorzich neemt.
Dus de andere besturingsystemen verspreiden/krijgen veel minder malware.
Waarom denk je dat dit artikel zulk groot nieuws is? het is in voor het eerst ooit dat zoiets op iOS gebeurt.

[Reactie gewijzigd door Typecast-L op 8 november 2014 13:15]

Ik ben het met je eens dat jailbreaken voor risico zorgt; je haalt beveiligingen weg waardoor je veel beter moet opletten wat je doet. Ik zou willen zeggen: duh.

Wat je daarna zegt raakt echter kant nog wal. Op een iPhone moet je eerst jailbreaken om te sideloaden, waarna je kwetsbaar bent voor een trojan. Op een Android moet je sideloaden aan zetten (zover ik weet) waarna je kwetsbaar bent voor een trojan die je evt sideloadt.
En dan hebben we het nog niet eens over het rooten van Android systemen.

Bottom line: zodra je beveiligingen tegen dit soort trojans omzeilt, moet je zowel op Android als iOS zelf beter nadenken wat je doet. Je kunt uren, dagen, jaren discussiëren wat het beste is maar dat is grotendeels een persoonlijke voorkeur.

Op een Android moet je sideloaden aan zetten (zover ik weet) waarna je kwetsbaar bent voor een trojan die je evt sideloadt.

Ben ik niet helemaal met je eens. Je kunt sideloaden inderdaad aanzetten, maar ook weer uitzetten. Als je telefoon gejailbreakt is ben je gewoon kwetsbaar, en dan punt.

Als je via Android kiest voor "installeren van onbekende bronnen" dan kies je hier eenmalig voor om je beveiliging alleen voor deze installatie uit te zetten. Daarna is je toestel gewoon weer beveiligd zoals altijd. Dus je opmerking over:

Wat je daarna zegt raakt echter kant nog wal.

mag wel iets genuanceerder.

Tuurlijk heb je daar een punt mee, maar daarvoor ben je al standaard een stuk kwetsbaarder voor gepruts van jezelf. Dat is wat ik bedoel. Wat je (in mijn ogen zegt) is het makkelijk kunnen installeren van een potentiële Trojan veiliger is dan het eerst moeten jailbreaken voor je dat kunt.
Kant nog wal is wellicht wat sterkt, maar ik vind het ietwat paradoxaal.

Veel Android gebruikers vinden het nog niet open genoeg, rooten hun toestel of erger nog installeren een custom ROM. waar de malware al gewoon ingebakken kan zijn.

Rooten van het toestel daar is niets mis mee, het geeft je zelfs meer controle over wat apps wel en niet mogen doen op jouw toestel. Je moet echter niet alle apps gaan installeren die met root werken, ook daarin moet je zoals altijd opletten met installeren. Er zijn vast vage custom ROM's die malware bevatten. Daarom moet je ook kiezen voor een betrouwbare XDA developer (alleen wie zijn dat, je gaat namelijk niet in de code rondkijken) en nog beter kies je voor een grotere uitgever van ROM's zoals CM.

Movie box. Geen jailbreak nodig.

http://www.iphoned.nl/app...ime-alternatief-moviebox/

Overigens als je de de root password van ios veranderd schijnt de malware niet te werken.

http://cydia.saurik.com/password.html

[Reactie gewijzigd door XthinkZ op 7 november 2014 09:30]

Het enige dat ik nog mis is dat de app f.lux in de App store komt. Telefoon jailbreak ik sowieso niet en de iPad jailbreak laat ik ook maar zitten.

Vroeger, op mijn iPod Touch jaren geleden (iOS 4 of zo) was een jailbreak nog heel nuttig met allerlei tweaks sinds iOS 7&8 is er eigen weinig wat ik nog mis en is de veiligheid mij meer waard.

Nog steeds geen native XBMC, fLux en wifi scanners. Alternatieve browsers die ook de juiste api etc. kunnen gebruiken zodat die ook wat sneller en energiezuiniger zijn.

[Reactie gewijzigd door Jan Ham op 7 november 2014 11:38]

Je hoeft niet te jailbreaken om IAP's te installeren. Een developer account (voor 7 euro te krijgen) is ook voldoende.

IAP = In App Purchase, ik bedoel daar niet de .ipa bestanden mee.

Zover bij mij bekend is raak je bij apple ook nog eens je garantie kwijt. De informatie hierover vind ik niet meer terug, maar herriner me wel dit gesprek, waar een support medewerker van Apple aangeeft dat de policy " we don't help" is.

http://www.zdnet.com/blog...are-is-getting-worse/3342

Een link uit 2011 over een anonieme support medewerker die zou hebben gezegd dat er een 'explosie van malware' voor de mac zou zijn. We zijn nu bijna in 2015, en een malware attack via een obscure chinese site waar je een aantal beveiligingsoptie van Apple eerst moet omzeilen is groot nieuws. Lijkt me dat die explosie niet heeft plaatsgevonden.

Dat gerucht wat je hoorde over de garantie kwijt zijn of dat mensen niet geholpen worden lijkt me grote bullshit.

[Reactie gewijzigd door curumir op 7 november 2014 11:41]

Sterker nog, volgens een rechter in de VS mag je software gewoon aanpassen zonder garantie te verliezen.
Maar of het slim is, is een 2de.
Apple kan namelijk ook moeilijk doen.
Je recht hebben is iets totaal anders dan je recht krijgen.

Ik ben bang dat slechts de eerste stap is. Nu richt het alleen schade aan op gejailbreakte toestanden, maar wellicht is binnenkort mogelijk om ook bestanden aan te passen op niet gejaibbreakte toestellen. Dan kunnen we apps die persoonlijke en of financiele informatie bevatten niet meer vertrouwen.

Nu richt het alleen schade aan op gejailbreakte toestanden, maar wellicht is binnenkort mogelijk om ook bestanden aan te passen op niet gejaibbreakte toestellen.

Dan moeten ze hele sterke encryptie breken vanuit hun eigen sandbox om root toegang te krijgen, dit gaat voorlopig nog niet gebeuren.