App Store: Forscher schleusen Malware am Review-Prozess vorbei

[Martin Wendel]

Apple bietet mit iOS und dem App Store ein sicheres und Malware-freies System an. Dies könnte man zumindest denken, beobachtet man Apples Bemühungen, den App Store durch seinen Review-Prozess frei von schadhaften Apps zu halten. Wie Forscher nun jedoch bewiesen haben, sieht die Realität unter Umständen etwas anders aus. Ein als News-App getarntes Programm hat es im März durch Apples Barrieren geschafft, weil es vom Review-Team nur wenige Sekunden getestet wurde. Die App offenbart jedoch erst nach längerer Verwendung ihr wahres Ich: Sie baut eine Verbindung mit den Servern der Forscher auf, wodurch die App neue – schadhafte – Befehle ausführen konnte.[PRBREAK][/PRBREAK]

​

Die App, die intern auf den Namen Jekyll hörte, wurde lediglich zu Testzwecken von den Forschern aus dem App Store geladen und danach wieder entfernt, Schaden bei unwissenden Nutzern hat sie keinen angerichtet. Theoretisch konnten mit der App unbemerkt Twitter-Nachrichten, E-Mails und SMS versendet, persönliche Informationen, Fotos und Geräte-Identifikationsnummern gestohlen und andere Apps beeinträchtigt werden. So konnten die Forscher etwa den Safari-Browser zu einer Webseite umleiten, die weitere Malware beinhaltet hat.

Wie ein Sprecher von Apple bestätigt, hat das Unternehmen basierend auf der nun von den Forschern veröffentlichten Publikation Änderungen an iOS durchgeführt. Welche Änderungen dies genau sind, ist nicht bekannt. Zum Review-Prozess selbst, bei dem in diesem Fall die App nur für wenige Sekunden ausgeführt wurde, wurde kein Kommentar abgegeben. Marc Rogers, Sicherheitsexperte bei Lookout, meint, dass alle Betriebssysteme – egal ob für Mobilgeräte oder andere Systeme – für eine solche Art von Angriff anfällig seien. Xuxian Jiang, ein Forscher der North Carolina Staat University, sieht in dem Vorfall eine Erinnerung daran, dass kein Review-Prozess für Apps perfekt sei.

Via MIT Technology Review
Bild: The App Store (CC BY 2.0), von PhotoAtelier, flickr

 

[mkr*]

Och nö, das fand ich bisher am AppStore in iOS super, dass man sich um so etwas eigentlich keine Gedanken machen musste.

 

[Martin Wendel]

Hauptsache die Apfeltalk-App hat man sich damals ganz genau angeschaut.

 

[Michael Reimann]

Es gab doch mal das Spiel "Gridlee", das sich als vollständiger Mame-Emulator entpuppte. Und gelegentlich schaffen es auch andere Programme durch die "Schleuse". Das ist für mich jetzt keine große "Forschungsleistung".

Die Prüfungen werden von Menschen gemacht, die auch mal Fehleinschätzungen unterliegen können, zumal man nicht genau weiß wieviele Apps so ein "Prüfer" in einer Schicht reviewen muss. Da wäre mal ein Forschungsansatz: Was kann ein Mensch in acht Stunden an realistischer App-Prüfung schaffen?

 

[Martin Wendel]

Die Prüfungen werden von Menschen gemacht, die auch mal Fehleinschätzungen unterliegen können, zumal man nicht genau weiß wieviele Apps so ein "Prüfer" in einer Schicht reviewen muss. Da wäre mal ein Forschungsansatz: Was kann ein Mensch in acht Stunden an realistischer App-Prüfung schaffen?

Umso interessanter wäre es, dass Apple ein paar Einblicke in den Review-Prozess gewähren würde.

 

[Tissi]

Oha... Da hat Apple bei mir ein tiefes Loch in Sachen Sicherheit in mein Herz gerissen.
War bis jetzt immer froh, dass ich mit um so etwas keine Sorgen machen brauchte. Gerade eben weil nur geprüfte Apps freigegeben werden.
Nun gut klar ist mir auch das nicht jede Zeile Code überprüft werden kann.
Mit iOS 7 wird alles "flat-er" :-D

 

[echo.park]

Die Prüfungen werden von Menschen gemacht [...]

Ist das tatsächlich so?

Es ist die Rede davon, dass die App protokolliert hat wie lange sie während des Review-Prozesses gelaufen ist - und das waren nur wenige Sekunden. Da scheint es so als sei der Review-Prozess in irgendeiner Art und Weise automatisiert. Software prüft Software sozusagen. Irgendwelche Tools laufen kurz drüber, klopfen ab auf Programmfehler, die Abstürze verursachen etc. und das war es dann mit dem Review. Ob da wirklich einer davor sitzt, ich weiß nicht so recht.

Genau so, wie es bei Anti-Viren-Herstellern auch ist. Da laufen 90% der Samples automatisch durchs Labor. Da guckt auch keiner mehr drüber. Naja, vielleicht ein blödes Beispiel, viel mir so ein.

 

[Foat]

Die Änderungen beziehen sich bestimmt auf den rausschmiss des

Reviewers der die Apps im Sekundentakt durchgewunken hat ​

 

[Martin Wendel]

@ Echo.park: Die Apps werden mit Sicherheit durch irgendeine Software gejagt, aber ich denke schon, dass da auch ein Mensch reinschaut (auch wenn es wie hier offenbar teilweise nur wenige Sekunden sind). Und ob eine App schlecht programmiert ist, wird Apple denke ich - für den Review-Prozess - ziemlich egal sein. Die schauen (bzw. sollten sie...) da auf andere Dinge.

 

[Scotch]

Überraschend ist das nicht - auch automatische Code-Inspektion ist Stand der Technik - aber das ist ein guter Weckruf an alle die glauben, dass durch Apples Zensur Review Schadcode im App Store keine Chance hat.

Wie auch das Beispiel der AT-App zeigt scheint Apple signifikant mehr Aufwand auf die Kontrolle der Inhalte als der Software zu verwenden. Jetzt ist das halt auch wissenschaftlich belegt.

 

[smoe]

Ein Einzelfall der kaum Einblick darauf gibt was da abgelaufen ist, geht bei dir als wissenschaftlicher Beleg durch?

 

[Cohni]

Für mich ist das Ganze keine Überraschung. Es gibt nicht das 100% sichere System bei den mobilen OS. Es gibt nur sicherere und weniger sicherere. Wichtig ist, dass man daraus lernt.

 

[dekatch]

Für mich ist das Ganze keine Überraschung. Es gibt nicht das 100% sichere System bei den mobilen OS. Es gibt nur sicherere und weniger sicherere. Wichtig ist, dass man daraus lernt.

Apple Software wurde noch nie als 101% bombensichere Software vermarktet btw.

Es gab schon immer auch paar Bedrohungen und Lücken in Apples Software nur eben nicht so verheerend und katastrophal wie jetzt anderswo (Win pc / android mobile)

 

[echo.park]

Und ob eine App schlecht programmiert ist, wird Apple denke ich - für den Review-Prozess - ziemlich egal sein.

Naja, da geht es darum, ob durch Abstürze und Fehler das "Benutzererlebnis" beeinträchtigt wird. Das reflektiert sich ja dann auf das Gerät an sich (iPhone, iPad).

 

[Martin Wendel]

Dafür gibt es aber ziemlich viele crappy Apps im App Store, die gerne auch mal abstürzen.

 

[Nucro]

Es ist die Rede davon, dass die App protokolliert hat wie lange sie während des Review-Prozesses gelaufen ist - und das waren nur wenige Sekunden.

Apple teilt den Entwicklern mit, wann sie mit dem Review beginnen und wann dieser abgeschlossen ist. Deswegen brauch die App das nicht protokollieren, wenn das überhaupt geht.

Bei inzwischen 7 eingereichten App Versionen hat Apple bei meinen Apps in 6 Fällen für den Review Prozess 20-50 Minuten gebraucht. Nur einmal hat es sich auf 2 Tage gezogen.

 

[MacMark]

Nun gut klar ist mir auch das nicht jede Zeile Code überprüft werden kann.

Alle Code-Zeilen zu prüfen würde in diesem Fall gar nichts nützen, weil die tatsächlich alle ok waren. In die App sind absichtlich Bugs eingebaut worden, über die von außen das Verhalten der App geändert werden kann. Die Code-Zeilen werden durch den geplanten Angriff von außen in anderer Reihenfolge ausgeführt. Kann man sich vereinfacht so vorstellen am Beispiel:

Original-Code:
1. Schwimmweste anziehen.
2. Ins Wasser springen.

Nach dem Angriff wird aber 2. vor 1. ausgeführt. Und schon ist die App böse. Der Code der App wird dabei nicht verändert, denn das würde dank Codesigning auffallen. Allein die Ausführungsreihenfolge der vorhandenen Anweisungen wird verändert.

Original-Paper: https://www.usenix.org/system/files/conference/usenixsecurity13/sec13-paper_wang_2.pdf

 

[Cohni]

Apple Software wurde noch nie als 101% bombensichere Software vermarktet btw...

Nein, das sicherlich nicht. Dennoch ist es in vielen Köpfen so drin.

Das bemerke ich ab und zu bei Gesprächen im Kollegenkreis oder Bekannten und Freunden.

Es hat halt jedes System seine Lücken.

 

[Bio Exorzist]

Theoretisch konnten mit der App unbemerkt Twitter-Nachrichten, E-Mails und SMS versendet, persönliche Informationen, Fotos und Geräte-Identifikationsnummern gestohlen und andere Apps beeinträchtigt werden. So konnten die Forscher etwa den Safari-Browser zu einer Webseite umleiten, die weitere Malware beinhaltet hat

Theoretisch, praktisch gibt es quasi für alles weitere Schranken an die man nicht so ohne weiteres und vor allem ohne Kenntnis des Nutzers vorbei kommt... Die App's sitzen ja nicht umsonst in ihrer eigenen Sandbox mit äußerst eingeschränkten Befugnissen...

Das man sich durch die App-Prüfung schummeln kann, ist übrigens auch nichts neues... Dennoch gibt's keine Schadsoftware, weil das eben nicht die einzige Hürde ist

 

[Michael Reimann]

Ist das tatsächlich so?

Ob da wirklich einer davor sitzt, ich weiß nicht so recht.

Genau so, wie es bei Anti-Viren-Herstellern auch ist. Da laufen 90% der Samples automatisch durchs Labor. Da guckt auch keiner mehr drüber. Naja, vielleicht ein blödes Beispiel, viel mir so ein.

Okay genau wird das wohl nur Apple wissen, wie der Prozess abläuft. Eine Vorab-Prüfung erfolgt allerdings bereits schon beim Upload der App. Hier wird schon kontrolliert, ob man z.B. private APIs nutzt usw. Damit wird aber nur sichergestellt, dass die APP überhaupt den gängigen Standards entspricht.