Gefälschte iOS-Apps: Apple sind keine Angriffe bekannt
Der iPhone-Hersteller hat auf Warnungen von Sicherheitsexperten reagiert, dass sich über Enterprise-Zertifikate Anwendungen manipulieren und ersetzen lassen. Er betonte, man dürfe keine Apps aus fremden Quellen installieren.
Apple sieht nach einer Warnung vor Hacker-Angriffen mit gefälschten iOS-Apps keinen akuten Handlungsbedarf. "Uns sind keine Kunden bekannt, die von einer solchen Attacke betroffen gewesen wären", erklärte der Konzern gegenüber dem IT-Blog iMore. Die Nutzer sollten allerdings stets Anwendungen nur aus vertrauenswürdigen Quellen herunterladen und eventuelle Sicherheitswarnungen beachten. Enterprise-Nutzern empfahl das Unternehmen, Apps nur von der sicheren Website ihrer Firma zu beziehen.
Anfang der Woche hatte die IT-Sicherheitsfirma FireEye ein schon seit längerem bekanntes Problem in iOS demonstriert, bei dem unter Umständen Apps auf den iPhones durch gefährliche Doppelgänger-Anwendungen ersetzt werden könnten. Möglich sei auch, dass dabei Daten der ursprünglichen App abgegriffen werden. Zudem könnten diese Anwendungen, die sich eines Enterprise-Zertifikats bedienten, dass der User akzeptieren muss, undokumentierte APIs nutzen, um auf weitere Daten auf dem Gerät zuzugreifen, darunter Textnachrichten.
Der Austausch einer Original-App gegen eine manipulierte Kopie lief dabei nicht über den App Store von Apple. Stattdessen könnten die Angreifer eine Funktion missbrauchen, die es Unternehmen erlaubt, eigene Anwendungen direkt auf die Geräte zu bringen. Bei der Installation sowie beim Ausführen einer entsprechenden App erhalten User allerdings Hinweise, die explizit bestätigt werden müssen.
Am Donnerstag warnten auch die US-Behörden in Form des zum Heimatschutzministerium gehörenden US-Cert vor solchen Angriffen, die von FireEye "Masque Attack" getauft worden waren. Genauso wie Apple empfehlen sie iOS-Nutzern in Unternehmen nachdrücklich, interne Apps nur von geschützten Firmen-Websites zu installieren und nicht auf per SMS oder E-Mail versendete Links zu reagieren. (mit Material von dpa) / (bsc)
