Apple: Phishing- und PNG-‘Bleed’-Angriffe

Kleine Info für Apple-Nutzer: Ihr müsst mal wieder sehr sehr aufmerksam sein – aber so was von aufmerksam. Eine manipulierte PNG-Grafikdatei kann euch argen Ärger bereiten. Und Phishing-Angriffe auf eure Apple-Konten auch …


Anzeige

Phishingangriff auf Anmeldedaten für Apple ID und iCloud

Zugangsdaten für die Apple ID oder die iCloud sind bei Cyber-Kriminellen hoch begehrt – und werden in China für ein paar Dollar gehandelt. Nutzer von Apple-Betriebssystemen werden aktuell wohl per Phishing-Angriff bedroht. Nutzer Dave Vitty ‏@davidvitty hat in einem Tweet eine Textnachricht gepostet, die momentan an Nutzer von iOS- und OS X-Apps verschickt wird.

Die SMS-Nachricht suggeriert, dass die Apple ID ausläuft, welch falsche Informationen vorlägen. Die verlinkte Webseite ist natürlich gefälscht und gauckelt den Leuten eine Apple-Anmeldeseite vor. Fällt der Nutzer darauf herein, fischen die Gauner die Anmeldedaten für das betreffende Apple ID- oder iCloud-Konto verwendet – und schon ist das Konto kompromittiert. Der britische Independent hat diesen Artikel zum Thema, ein paar deutschsprachige Informationen lassen sich bei heise.de nachlesen.

PS: Natürlich weiß der erfahrene Nutzer, dass es sich um Phishing handelt und ignoriert das Ganze. Aber die Cyber-Gangster scheinen detaillierte Kenntnisse über die Phighing-Opfer zu haben und sprechen diese mit Namen oder gar Kosenamen, die laut einem Betroffenen von Ex-Freundinnen genutzt wurden, an. Und unter den OS X- und iOS-Nutzern sind viele, die unter der Prämisse "it just works" mit minimalen Kenntnissen unterwegs sind. Fluch der Einfachheit.

PNG-BLEED-Bug schießt iOS- und OS X-Apps ab

Was hatte ich doch für Hoffnungen, als Apple, später Google und dann Microsoft ihre App-Konzepte vorstellten. Sicher, einfach und billig sollte das Zeugs sein. Endlich keine Viren und Sicherheitsbedrohungen mehr, die über Apps das Betriebssystem in den Abgrund reißen. Die harte Wirklichkeit sieht leider anders aus – Pleiten, Pech und Pannen – und das App-Geraffel ist eine Black-Box.

Da passt der neueste Schwank ganz gut. Sicherheitsspezialist Lander Brandt ist auf einen Fehler im Application Services gestoßen. Die Bibliothek wird von vielen OS X- und iOS-Apps wie Safari, Mail, Messages, Tweetbot, Chrome, Firefox etc. zum Parsen von verschiedenen Grafikformaten verwendet. Inspiriert von der Stagefright-Lücke hat er eine manipulierte PNG-Datei (z.B. mit mit einem 0-Byte langen Datenfeld oder falschen CRC32-Werten) verwendet, um die Application Services anzusprechen. Unter iOS 7.1 und 9.3.1 sowie unter OS X 9.3.x bis 10.11.x führte dies dazu, dass die Apps zur Anzeige der Bilddatei abstürzten. Bei iOS reißt ein solches Bild über die Message-App das Springbord in den digitalen Orkus. Auch die Apps Mail oder Safari lassen sich abschießen. Bei heise.de hat man hier das Ganze getestet und in einem deutschsprachigen Artikel zusammen gefasst. 

Ähnliche Artikel:
Sicherheits-Sammelsurium: Kreditkartentausch, iOS-Bug, ..
Wo waren 2015 die Top Sicherheitslücken? OS X, iOS, Flash …
Gravierende Sicherheitslücken in iOS und Max OS X
iOS-Sicherheitslücke: App-Austausch per Masque-Angriff


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter iOS, macOS X, Sicherheit abgelegt und mit , , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.