San Francisco Frontiers - Calif.io-Exploit umging Apples Blockierungsmodus auf dem iPhone

Im vergangenen Frühjahr behauptete Apple stolz, es sei noch keiner „Mercenary Spyware“ gelungen, den sogenannten Blockierungsmodus alias „Lockdown Mode“ auf dem iPhone zu umgehen. Mit diesem sperren iOS, iPadOS und macOS diverse mögliche Einfallstore für Schadprogramme, etwa über iMessage-Nachrichten oder E-Mails, um die Geräte besser vor Angriffen durch hochkomplexe (und zumeist teure und daher von Regierungen finanzierte) Schadprogramme zu schützen. Stefan Esser, langjähriger IT-Sicherheitsforscher und inzwischen Mitglied des in jüngster Zeit sehr erfolgreichen IT-Security-Teams Calif.io, sieht das allerdings kritischer. „Aussagen wie ‚Uns ist nicht bekannt, dass Mercenary-Spyware jemals den Lockdown-Modus umgangen hat’ muss man mit Vorsicht genießen. Das ist insbesondere Marketing.“ Esser weiß hier sehr genau, wovon er spricht: Sein jüngster spektakulärer Jailbreak für alle aktuellen iPhones bis hoch zu iOS 27.0.1, der sogar rebootfest ist, funktioniert auch im Blockierungsmodus. „Die Ironie ist, dass ich die ganze Zeit den Lockdown-Modus auf meinem Test-iPhone anhatte“, also im Rahmen der Vorführung des Calif.io-Jailbreaks. Er habe das in seinem Demovideo nur nicht gezeigt. „Der Lockdown-Modus kann in der Realität nichts unterbinden. Es kann nur Features abschalten oder Mitigations schärfer schalten, oder Zero-Click-Exploits in 1-Click-Exploits abschwächen. Das macht Angriffe aus Sicht von Angreifern natürlich teurer. Die Geräte parsen aber nach wie vor Unmengen an Medien und Protokollen.“

Beim Calif.io-Jailbreak war ein Bug im PDF-Parser eines der Einfallstore. Mit dem Blockierungsmodus wird dieses PDF nicht sofort angezeigt, doch es reichte aus, dass der Nutzer es trotzdem aufmacht – ein vollständig übliches Vorgehen im Alltag. „PDF ist letztendlich auch nur ein Opfer. Das Format wird gerne herumgeschickt, jeder öffnet es und es ist sehr kompliziert zu parsen“, so Esser. Apple härtet im Blockierungsmodus die Geräte also insbesondere dadurch, dass Zwischenschritte notwendig sind. Preview: Härtung per MTE nur im Blockierungsmodus aktiv

Teilsweise seien, so Esser, standardmäßig nicht vorhandene Mitigations erst dann aktiv. Bei dem Jailbreak kommt das Schad-PDF entweder über Safari oder per AirDrop auf das Gerät. Im Blockierungsmodus erfolgt die Anzeige dann über die Vorschau-App (Preview). Dort sei der verbesserte Speicherschutz (MTE, Apple nennt ihn MIE) nur aktiv, wenn auch der Blockierungsmodus läuft. „Apple führt neue Sicherheitsfeatures immer erst nur da ein, wo sie denken, man braucht sie und es gibt die kleinste Möglichkeit für irgendeine Inkompatibilität.“ In diesem Fall war es ohnehin unerheblich: Dem Calif.io-Team, gelang es, MTE zu umgehen. Ein weiteres „Geheimnis“ des Jailbreaks lüftete Esser gegenüber heise Mac & i ebenfalls: wie es ihm gelungen ist, den Hack persistent über Updates hinweg zu machen. Denn auch nach einer Aktualisierung eines infizierten Geräts von iOS 27.0.1 auf iOS 27.2, das die verwendeten Lücken schließt, bleibt der Exploit auf dem Gerät. Laut Esser klappt das deshalb, weil der Bug an einer Stelle sei, „die von dem Update nicht angerührt“ wird. „Die Persistenzlücke hat Apple noch nicht geschlossen, da wir die technischen Details noch nicht an Apple geschickt haben.“ Außerdem habe man den Code „ein bisschen“ für iOS 27.2 angepasst.

I.Rodriguez--SFF