Feature [Update] App Store: iOS-Malware infiziert über 500 Millionen Geräte

[Paganethos]

Wie? Ganz ohne Jailbreak? Schade, dann bleiben die amüsanten, hämischen Kommentare diesmal wohl aus.

Na ja, wenn der Entwickler so dumm ist XCode von einer dubiosen Seite zu laden und diese Entwicklerumgebung schon kompromittiert ist, ja was soll Apple denn dagegen unternehmen? Gut, sie könnten bei jedem Upload erst mal verifizieren ob XCode auch dem Original entspricht, aber das Geschrei wäre natürlich wieder riesig.

 

[landplage]

Bei Heise (?) stand irgendwo, daß die infizierten Apps erst nach Wochen oder Monaten aktiv werden könnten. Wenn Apple so lange Testläufe bis zur Freigabe fahren würde, wäre der Teufel los. Vermute ich.

Kann man Apps automatisiert testen oder brauche ich da 100 Mitarbeiter, die die App öffnen, damit herumspielen, alle möglichen Anwendungsfälle abdecken und sehen, ob Mist gebaut wird?

 

[Grayson1988]

Na ja, wenn der Entwickler so dumm ist XCode von einer dubiosen Seite zu laden und diese Entwicklerumgebung schon kompromittiert ist, ja was soll Apple denn dagegen unternehmen? Gut, sie könnten bei jedem Upload erst mal verifizieren ob XCode auch dem Original entspricht, aber das Geschrei wäre natürlich wieder riesig.

Wäre aber angebracht. Weil sonst bringt das nichts. Eine Xcode Verifizierung wäre schon angebracht. Und zu den Entwicklern, wie kann man denn so blöd sein und sich etwas aus fremden Quellen laden? Wahrscheinlich so schlaue die meinen, die ziehen sich xCode aus nem Torrentnetzwerk, weil es schneller ist.

Das ist nicht wirklich peinlich für Apple. Aber peinlich für die Entwickler.

 

[Mokotschombo]

....
Das ist nicht wirklich peinlich für Apple. Aber peinlich für die Entwickler.

Ja und Apple hat keine Schuld daran, sind ja nuuur die Entwickler.....

Hieß es nicht, wenn du aus dem Apple Store lädst, wird nix passieren, weil Apple das prüft?

 

[Paganethos]

Ja und Apple hat keine Schuld daran, sind ja nuuur die Entwickler.....

Hieß es nicht, wenn du aus dem Apple Store lädst, wird nix passieren, weil Apple das prüft?

Die Dummheit (und Gier) der Menschen ist eben grenzenlos. Kein noch so ausgefeiltes Verfahren zur Verifizierung kann alles voraussehen. Wer sich mit seinem Gadget 100% sicher fühlt kann sich gleich zur erst genannten Gruppe zählen. Wem das nicht klar ist, der hat wohl einfach sein Leben hinter dem Mond verbracht.

Hier sind tatsächlich die Entwickler zu 100% Schuld. Solchen Idioten sollte man den Rechner wegnehmen und sie zur Reisernte zwangsverpflichten. Da können sie mit ihrer Dummheit keinen Schaden anrichten.

 

[Macaddict]

PS: Wieso "gegen" Android?

Leben und leben lassen.

Ich hab nichts gegen Android-Nutzer. Und auch nicht gegen Windows-Nutzer oder
Menschen, die Espresso aus einem Kaffeevollautomaten trinken. Jeder so, wie
er/sie es mag.

Aber hin und wieder diskutiert man eben und bisher war der vermeintlich sichere
AppStore eben immer ein gutes Argument pro iOS.

 

[ullistein]

Da ich Mercury nun habe löschen müssen - kennt jemand einen guten Alternativbrowser?

 

[maddi06]

Was fehlt dir denn bei Safari?

....im übrigen ist mir das auch so Wurst was für Handy's genutzt werden. Aber Ironie setzt beim gegenüber auch immer eine gewisse... ^^

 

[Frischluft]

Das lustige ist immer:

Bei Android wird sich immer darüber aufgeregt, Apps mit Maleware schaffen es in den Google Play Store.. Bla blubb

Android, gefährlich, unsicher, doof.
Hier wird nichts auf die Entwickler projiziert.


Bei Apple hingegen ist es jetzt plötzlich komplett anders.

Apple, ungefährlich, sicher, toll

Ja die bösen Entwickler sind auf einmal Schuld, Apple in dessen Store verkauft wird, niemals.

Etwas unlogisch, nicht?

Aber egal *rosarote Brille aufsetz*

-----

Klar ist das mehr als peinlich und schmerzhaft für Apple.

 

[ullistein]

Mir fehlt bei Safari im Grunde nichts, aber ich nutze gerne zwei Browser, um einen besseren Überblick über geöffnete Tabs zu haben. Also lieber wenige Tabs in zwei Browsern, als ganz viele in einem Browser.

 

[Marcel Bresink]

Kann man Apps automatisiert testen oder brauche ich da 100 Mitarbeiter, die die App öffnen, damit herumspielen, alle möglichen Anwendungsfälle abdecken und sehen, ob Mist gebaut wird?

Beides geht nicht. Durch Testen kann man nicht herausfinden, was ein Programm tut.

 

[MacbookPro@Olli]

Na ja, wenn der Entwickler so dumm ist XCode von einer dubiosen Seite zu laden und diese Entwicklerumgebung schon kompromittiert ist, ja was soll Apple denn dagegen unternehmen? Gut, sie könnten bei jedem Upload erst mal verifizieren ob XCode auch dem Original entspricht, aber das Geschrei wäre natürlich wieder riesig.

Erst einmal machen Entwickler das nur, weil Apple ganz offensichtlich zu geizig ist, ausreichend Content-Server in Asien zu mieten und deshalb die Entwickler dort durch einen lahmen Download benachteiligt werden. Natürlich sind die selbst schuld, aber Apple hat dieses Verhalten herausgefordert. Fragt sich allerdings nur, wie eine App wie Angry Birds 2 dann auch kompromittiert sein kann... Und wie du schon sagtest...auf ein originales XCode zu prüfen wäre sicherlich möglich – ich denke auch, dass so etwas jetzt kommen wird. Für Apple ist die ganze Chose zum Release des 6S natürlich ein ganz schöner PR-GAU.

Beides geht nicht. Durch Testen kann man nicht herausfinden, was ein Programm tut.

Klar kann man das. In diesem Falle hätte man nur den Netzwerkverkehr der App überwachen müssen. Allerdings müsste der Prüfer wissen, auf welche Server die App zugreifen darf und auf welche nicht. Der Entwickler selbst wüsste das und könnte solch einen Test somit auch durchführen.

 

[maddi06]

Also lieber wenige Tabs in zwei Browsern, als ganz viele in einem Browser.

Das verstehe ich nicht ganz. Du siehst in Safari schneller was für Tabs offen sind als das komplette Programm zu wechseln. Einmal Hochscrollen, rechts unten auf die 2 Vierecke und du hast alle Tabs in der Übersicht.

Dass das Ressourcenschonender wäre würde auch nicht zutreffen.

Aber das darf ja jeder machen wie er mag.

Schau dir mal Dolphin an.

 

[Marcel Bresink]

Klar kann man das. In diesem Falle hätte man nur den Netzwerkverkehr der App überwachen müssen. Allerdings müsste der Prüfer wissen, auf welche Server die App zugreifen darf und auf welche nicht.

Nein. Dann wird die App eben so programmiert, dass sie sich in dem Land, in dem getestet wird, oder einfach für x Monate lang, unauffällig verhält. Als Server kann man ebenso welche nehmen, die völlig unauffällig sind. Den Datenverkehr kann man verschlüsseln, was Apple sogar offiziell empfiehlt.

 

[frostdiver]

Für mich klingt es erstmal so, als ob die Malware nichts Unerlaubtes macht. Sprich sie tut nur die Dinge, die eine normale App auch kann und (technisch) darf. Also was sollen die Reviewer denn machen?
Die Story ist eigentlich nur: Entwickler bringen Apps in den Store mit Code, den sie nicht mitschicken wollten.

 

[echo.park]

[...] und die Zwischenablage, in der etwa kopierte Passwörter von Passwortverwaltungs-Programmen liegen könnten, auslesen können.

DAS ist der Grund, warum ich 1Password nicht mehr nutze. Das Entleeren der Zwischenablage nach festgelegter Dauer hat nämlich quasi nie korrekt funktioniert oder kann auch durch den Nutzer unachtsam selbst torpediert werden, wenn man 1Password, vielleicht aus Gewohnheit, beendet.

Und als ich dann gemerkt habe, dass die UPS-App einen in der Zwischenablage abgelegten Paketcode beim Öffnen der App automatisch erkannt hat und mir anbot das Paket auch gleich zu tracken, ist es mir wie Schuppen aus den Haaren gefallen. Dann habe ich 1 und 1 zusammengezählt und 1Password runtergeworfen.

Abgesehen davon vermisse ich 1Password auch nicht und die jetzige Situation bestärkt mich noch in meiner Entscheidung.

Auf dem Mac ist das übrigens ähnlich, mit dem Unterschied, dass hier das Entleeren der Zwischenablage immer korrekt abzulaufen scheint.

 

[Frischluft]

@Oliver Bergmann

Gehört der iCloud Schlüsselbund auch zu diesen Passwortverwaltungsprogrammen, oder ist der in diesem Fall sicher?

 

[frostdiver]

DAS ist der Grund, warum ich 1Password nicht mehr nutze.

Richtig. Das ist ein (lösbares) Problem bei iOS. Hat mich schon immer gewundert, dass Apple da nicht mal dran rumschraubt.
Sie könnten zusätzlich eine sichere Zwischenablage einführen, auf die die Apps keinen Lesezugriff haben und dessen Inhalt nur durch Userinteraktion irgendwo eingefügt wird.

 

[goldeagle]

Erst einmal machen Entwickler das nur, weil Apple ganz offensichtlich zu geizig ist, ausreichend Content-Server in Asien zu mieten und deshalb die Entwickler dort durch einen lahmen Download benachteiligt werden.

Ich glaube kaum, dass man das pauschal sagen kann. Die chinesische Regierung blockiert vieles mit Absicht oder lässt viele Quellen nur mit geringer Downloadrate zu. Da muss man sich nicht wundern, wenn viele chinesische Entwickler sich Ihre Entwicklungsumgebung von lokalen Servern laden, wo es ein anderer Entwickler hochgeladen hat. Dass da dann so ein Bullshit rauskommen kann, da hoffe ich, dass die Entwickler daraus lernen. Für die meisten Apps ist der Schaden überschaubar, aber dadurch dass es das chinesische Whatsapp getroffen hat, kommt vllt. mal was in die Gänge.

Abgesehen davon, das was aufgelistet ist, was die vermeintliche Malware kann, das können doch "normale" Apps, die mit richtigem XCode kompiliert worden sind, auch. Bloß, dass die es (so hofft man doch) nicht an irgendwelche dubiosen Server übertragen.
Und auch trotz des besten Review-Prozesses, man kann seine eigene App ganz einfach manipulieren. Man braucht sie nur so zu programmieren, dass sie bis Datum XX.XX.2015 auf eine bestimmte Art läuft, und ab dann eine Schalter umgelegt wird und die App was ganz anderes macht. Der Zeitraum wird so gewählt, dass die App genug Zeit hat, durch den Review-Prozess zu kommen und so dort nicht auffällig wird. Leider ein großes Problem…

 

[muffy]

So ein Mist, ich nutze die App CamScanner schon seit langer Zeit sehr intensiv. Nutze zwar die Plus-Version, die angeblich nicht betroffen ist und auch weiter im AppStore verfügbar ist, aber diese Version ist vermutlich auch infiziert. Warum sollten die Entwickler da ausgerechnet auf Apples offizielle Tools gesetzt haben?

Zwischenzeitlich habe ich mich auch immer mal gewundert, warum nach einem iPhone-Neustart vereinzelt und vermeintlich willkürlich meine Apple-ID-Logindaten abgefragt wurden bzw. der Login-Dialog erschien. Der Dialog wurde jedenfalls völlig unabhängig von der Nutzung der App angezeigt. Da ich Apple vertraut habe, hatte ich meine Daten natürlich im guten Glauben daran, nur offizielle Sachen installiert zu haben, eingegeben. Ich bin sehr enttäuscht. Bin wohl Opfer der Phishing-Attacke bzw. des Datenklaus geworden.

Ich werde CamScanner+ sofort für immer löschen und auf die Alternative Microsoft Office Lense umsteigen. Das hätte ich schon längst tun sollen.

Man scheint nur einigermaßen sicher, wenn man auf Apps sehr großer Entwicklerschmieden und Konzerne aus den USA und Europa setzt, da die sich aus Image- und Reputationsgründen wenigstens an die Vorgaben von Apple halten.

Ich kann nur offen, dass es demnächst nicht noch weitere betroffene Apps gibt. Passwort-Safe-Apps wie 1Passsword und die neuen Adblocker-Apps wären für eine Phishing-Attacke ja auch sehr prädestiniert.