PacSec Tokyo 2013: Hacker demonstrieren Sicherheitslücke bei iOS 7.0.3

Aktuell findet in Tokyo der PacSec Hackerwettbewerb statt. Als Initiator fungiert die Hewlett Packards Zero Day Initiative (ZDI). Im Rahmen dieser Veranstaltung können einzelne Hacker oder gar ganze Hacker-Teams ihre Fähigkeiten unter Beweis stellen. Gefundene Exploits im Apple iOS oder Schwachstellen beim aktuellen Samsung Galaxy S4 Smartphone werden dann in der Kategorie „Mobile Pwn2Own“ beispielsweise mit einer fünfstelligen Prämie belohnt. Die Testgeräte dürfen zudem auch behalten werden.

Schwachstellen im Apple iOS und beim Galaxy S 4 gefunden

Das Team der chinesischen Firma Keen Cloud Tech (Keen Team) konnte im Apple iOS gleich zwei Schwachstellen ausfindig machen. Zum einen gelang es dem Team die Cookie-Datenbank beim Safari Browser unter iOS 6.1.4 auszulesen. Dazu musste das „Opfer“ lediglich eine präparierte Website aufrufen. Mit Hilfe des Zugriffs konnten dann die Facebook-Account Daten ausgespäht und auf einem anderen Rechner direkt verwendet werden. Die geschädigten Nutzer würden den Fremdzugriff vermutlich erst dann bemerken, wenn es bereits zu spät ist.

Eine zweite Schwachstelle konnte bei der aktuellen iOS 7.0.3 Version ausfindig gemacht werden. Das Prozedere ist vergleichbar mit dem ersten Exploit-Fund. Der Nutzer wird auf eine manipulierte Website gelockt um den Hackern dann das Umgehen der Zugriffsrechte zu ermöglichen. Ohne große Mühe konnten die Hacker dann auf die Bilder des iPhones zugreifen.

Das Keen Team im Video

[youtube ThKUSs7dIPY]

Für die gefundenen Exploits im Apple iOS erhielt das Keen Team 27.550 US Dollar. Beide iPhones befanden sich im Originalzustand und waren nicht mit einem Jailbreak versehen. Wäre es den Hackern gelungen auch aus der Safari Sandbox auszubrechen, wäre die Belohnung noch höher ausgefallen.

40.000 US Dollar sahnten übrigens die Hacker vom Team MBSD ab. Die Jungs aus Japan konnten gravierende Schwachstellen beim Samsung Galaxy S 4 ausfindig machen und Schadsoftware auf Systemebene einschleusen. Neben SMS und Kontaktdaten, konnten auch Lesezeichen ausgespäht werden. Zudem gelang es den Hackern mittels Schadsoftware auf dem Samsung Galaxy S 4 installierte Apps zu beschädigen.

Nach der Prämierung der Teams werden Apple, Samsung und Co über die jeweils gefundenen Schwachstellen informiert, so dass diese mit zukünftigen Updates geschlossen werden können.

via

Neben unserer Webseite könnt ihr uns auf Facebook, Google+ und Twitter besuchen. Für Feedback und Anregungen – sei es dort, in den Kommentaren oder via eMail – sind wir stets dankbar. Alternativ könnt ihr auch unsere kostenlose Apfelnews App auf euer iPhone laden und dank Pushbenachrichtigungen immer auf dem aktuellsten Stand bleiben.