Thought Leadership
Das Global Research and Analysis Team (GReAT) von Kaspersky hat eine neue Erkennungsmethode für Pegasus und ähnlich ausgeklügelte iOS-Spyware entwickelt. Damit stellt der Cybersicherheitsanbieter auf Github ein öffentlich verfügbares Tool zum Infektionscheck zur Verfügung.
Die Spyware Pegasus kam jüngst in Deutschland zum Einsatz. Um entsprechende Spyware-Infektionen einfacher zu identifizieren, haben die Kaspersky-Experten ein Selbstcheck-Tool für Nutzer entwickelt. Neben Pegasus werden auch die iOS-Spyware Reign und Predator erkannt.
Die neue Erkennungsmethode konnten die Experten von Kaspersky entwickeln, da sie erkannten, dass Pegasus-Infektionen Spuren im Systemprotokoll „Shutdown.log“, das im Diagnosearchiv jedes mobilen iOS-Geräts enthalten ist, hinterlassen. Das Archiv enthält Informationen zu jedem Reboot-Vorgang, so dass Anomalien der Pegasus-Malware im Protokoll sichtbar werden, sobald ein infizierter Nutzer sein Gerät neu startet. Dazu gehören unter anderem, insbesondere bei der Pegasus-Spyware, „haftende“ Prozesse, die Neustarts verhindern, sowie Infektionsspuren, die von der Cybersicherheitscommunity entdeckt wurden.
Bei der Analyse der Shutdown.log von Pegasus-Infektionen fanden die Kaspersky-Experten den Infektionspfad „/private/var/db/“, der den Pfaden anderer iOS-Malware wie Reign und Predator entsprach. Die Kaspersky-Experten gehen davon aus, dass diese Protokolldatei das Potenzial birgt, Infektionen im Zusammenhang mit diesen Malware-Familien zu identifizieren.
Basierend auf diesen Erkenntnissen wurde ein Selbstcheck-Tool für Nutzer entwickelt. Mit Hilfe des The-Python3-Skripts kann der Shutdown.log leichter extrahiert, analysiert und geparst werden. Das Tool ist frei auf Github für macOS, Windows und Linux verfügbar.
„Die Analyse des Sysdiag Dump ist eine minimalinvasive und ressourcenschonende Methode, die sich auf systembasierte Artefakte stützt, um potenzielle iPhone-Infektionen zu identifizieren“, erklärt Maher Yamout, Lead Security Researcher im GReAT von Kaspersky. „Durch den Infektionsindikator aus diesem Protokoll und die Bestätigung der Infektion mit Hilfe der Verarbeitung anderer iOS-Artefakte durch das MVT (Mobile Verification Toolkit) wird das Protokoll nun Teil eines holistischen Ansatzes zur Untersuchung von iOS-Malwareinfektionen. Wir haben die Verhaltensübereinstimmung mit anderen analysierten Pegasus-Infektionen verifiziert, so dass wir davon ausgehen, dass es als zuverlässiges forensisches Artefakt zur Unterstützung der Infektionsanalyse dienen wird.“
Empfehlungen zum Schutz vor fortgeschrittener iOS-Spyware
- Geräte täglich neustarten. Denn Untersuchungen von Amnesty International und Citizen Lab zufolge basiert Pegasus oft auf nicht persistenten Zero-Click-Zero-Day-Exploits. Ein regelmäßiger Neustart kann helfen, das Gerät zu bereinigen; Angreifer müssten es damit immer wieder neu infizieren.
- Den Lockdown-Modus nutzen, da öffentliche Berichte diesem Erfolge beim Blockieren von iOS-Malware-Infektionen attestieren.
- iMessage und Facetime deaktivieren, die zu den am häufigsten ausgenutzten Diensten durch Hacker zählen, weshalb das Deaktivieren dieser das Risiko reduziert, von Zero-Click-Ketten infiziert zu werden.
- Mobilgeräte regelmäßig updaten. Die neuesten iOS-Patches sollten umgehend installiert werden, da viele iOS-Exploit-Kits auf bereits gepatchte Schwachstellen abzielen.
- Keine Links in Nachrichten öffnen, da Pegasus über 1-Click-Exploits per SMS, E-Mail oder Messenger verbreitet werden kann.
- Regelmäßig Back-ups erstellen und Systemdiagnosen durchführen; Tools können bei der Erkennung von iOS-Malware helfen.
Das Tool zur Erkennung von Infektionen mit Pegasus ist hier verfügbar.
www.kaspersky.de
