Kaspersky: Erkennungs-Tool für Spyware
Finde den iOS-Spion
Das Global Research and Analysis Team (GReAT) von Kaspersky hat eine neue Erkennungsmethode für Pegasus und ähnlich ausgeklügelte iOS-Spyware entwickelt. Damit stellt der Cybersicherheitsanbieter auf Github ein öffentlich verfügbares Tool zum Infektionscheck zur Verfügung.
Die Spyware Pegasus kam jüngst auch in Deutschland zum Einsatz. Um entsprechende Spyware-Infektionen einfacher zu identifizieren, haben die Kaspersky-Experten ein Selbstcheck-Tool für Nutzer entwickelt. Neben Pegasus erkenne man auch die iOS-Spyware Reign und Predator.
Die neue Erkennungsmethode konnten die Experten von Kaspersky nach eigenen Angaben mit Hilfe einer Analyse im Kontext dessen entwickeln, dass Pegasus-Infektionen Spuren im Systemprotokoll „Shutdown.log“ hinterlassen. Dies ist im Diagnosearchiv jedes mobilen iOS-Geräts enthalten. Das Archiv enthält Informationen zu jedem Reboot-Vorgang, sodass Anomalien der Pegasus-Malware im Protokoll sichtbar werden, sobald ein infizierter Nutzer sein Gerät neu startet. Dazu gehören unter anderem, insbesondere bei der Pegasus-Spyware, „haftende“ Prozesse, die Neustarts verhindern, sowie Infektionsspuren, die die Cybersicherheitscommunity entdeckt hatte.
Bei der Analyse der Shutdown.log von Pegasus-Infektionen fanden die Kaspersky-Experten den Infektionspfad „/private/var/db/“, der den Pfaden anderer iOS-Malware wie Reign und Predator entsprach. Die Kaspersky-Experten gehen davon aus, dass diese Protokolldatei das Potenzial birgt, Infektionen im Zusammenhang mit diesen Malware-Familien zu identifizieren.
Basierend auf diesen Erkenntnissen entstand ein Selbstcheck-Tool für Nutzer. Mit Hilfe des The-Python3-Skripts kann der Shutdown.log leichter extrahiert, analysiert und geparst werden. Das Tool ist frei auf Github für macOS, Windows und Linux verfügbar.
„Die Analyse des Sysdiag Dumps ist eine minimalinvasive und ressourcenschonende Methode, die sich auf systembasierte Artefakte stützt, um potenzielle iPhone-Infektionen zu identifizieren“, erklärte Maher Yamout, Lead Security Researcher im GReAT von Kaspersky. Durch den Infektionsindikator aus diesem Protokoll und die Bestätigung der Infektion mit Hilfe der Verarbeitung anderer iOS-Artefakte durch das MVT (Mobile Verification Toolkit) wird das Protokoll nun Teil eines holistischen Ansatzes zur Untersuchung von iOS-Malwareinfektionen. „Wir haben die Verhaltensübereinstimmung mit anderen analysierten Pegasus-Infektionen verifiziert, sodass wir davon ausgehen, dass es als zuverlässiges forensisches Artefakt zur Unterstützung der Infektionsanalyse dienen wird“, so Yamout weiter.
Kaspersky-Empfehlungen zum Schutz vor fortgeschrittener iOS-Spyware:
- Geräte täglich neustarten. Denn Untersuchungen von Amnesty International und Citizen Lab zufolge basiert Pegasus oft auf nicht persistenten Zero-Click-Zero-Day-Exploits. Ein regelmäßiger Neustart kann helfen, das Gerät zu bereinigen; Angreifer müssten es damit immer wieder neu infizieren.
- Den Lockdown-Modus nutzen, da öffentliche Berichte diesem Erfolge beim Blockieren von iOS-Malware-Infektionen attestieren.
- iMessage und Facetime deaktivieren, die zu den am häufigsten ausgenutzten Diensten durch Hacker zählen, weshalb das Deaktivieren dieser das Risiko reduziert, von Zero-Click-Ketten infiziert zu werden.
- Mobilgeräte regelmäßig updaten. Die neuesten iOS-Patches sollten umgehend installiert werden, da viele iOS-Exploit-Kits auf bereits gepatchte Schwachstellen abzielen.
- Keine Links in Nachrichten öffnen, da Pegasus über 1-Click-Exploits per SMS, E-Mail oder Messenger verbreitet werden kann.
- Regelmäßig Backups erstellen und Systemdiagnosen durchführen; Kaspersky-Tools können bei der Erkennung von iOS-Malware helfen.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
