Datendiebe auf ungeknackten iPhones

Wie 20 Minuten Online berichtete, ist auf iPhones standardmässig das SSH-Passwort «alpine» eingestellt, wodurch ein entsperrtes Apple-Handy Hackern offen steht, falls der Besitzer das Passwort nicht geändert hat. Hatte ein niederländischer Hacker nur jeweils fünf Euro erpressen wollen und ein Australier gejailbreakte iPhones mit Rick Astley auf dem Startbildschirm versehen, machte kürzlich mit «Privacy.A» ein gefährlicherer Wurm Schlagzeilen. Er nutzt die gleiche Lücke. Der Schädling kommt jedoch über eine WLAN-Verbindung auf das Apple-Smartphone. «Privacy.A» kann beispielsweise Kontaktdaten, Fotos oder E-Mails stehlen.

Unlängst warnte Chester Wisniewski vom Sicherheitsanbieter Sophos in seinem Blog vor einem neuen Schädling namens Duh, welcher iPhones mit Jailbreak befällt. Er soll unter anderem mTANs, also Geheimzahlen fürs Online-Banking, suchen, aber auch das Standardpasswort «alpine» in «ohshit» ändern.

SpyPhone läuft auf iPhones ohne Jailbreak

Nun hat der Schweizer Entwickler Nicolas Seriot den Code seiner Applikation namens SpyPhone ins Netz gestellt, mit der sich im grossen Stil Nutzerdaten stehlen lassen. In einer Präsentation, die er vergangen Woche vor Entwicklern in Genf hielt, wollte Seriot das Ganze aber als Studie verstanden wissen. Denn seine App ist zwar gefährlich, weil im Unterschied zu den oben erwähnten Schädlingen auch auf nicht entsperrten iPhones und damit auf dem Gros der Apple-Handys läuft. Allerdings müsste sie Apples rigiden Aufnahmeprozess überstehen.

Vor zwei Wochen hatte Apples Marketing-Chef Phil Schiller in einem Interview mit dem Magazin BusinessWeek erwähnt, dass Apple rund zehn Prozent der eingereichen Apps ablehnt, weil diese illegal seien und beispielsweise darauf ausgerichtet sind, Nutzerdaten zu stehlen. Laut Nicolas Seriot soll SpyPhone Standorte, Adressen, Nutzerdaten und jedes auf dem iPhone eingegebene Wort über die von Apple verfügbar gemachte Programmierschnittstelle (API) einsammeln und an den Entwickler schicken können.

Entwickler griffen Telefonnummern ab

Auf die Frage von 20 Minuten Online, warum er den Code seiner App ins Netz gestellt habe, sagte Seriot: «Er ist ein Beweis. Wenn man ihn nicht veröffentlicht, glaubt einem keiner.» Im Unterschied zu Apple hat Google keinen derart strengen Aufnahmeprozess. Apps werden hier erst näher überprüft, wenn sich jemand beschwert. Angst, dass jemand daher seine App für Android umschreiben könnte, hat Seriot zurzeit nicht, schränkte aber ein: «Es ist zumindest nicht so leicht, sie auf Googles Betriebssystem zu bringen.» Zwar habe Apple einen guten Filtermechanismus für den App Store, so der Entwickler weiter, aber dennoch seien Apps wie World War und iMobsters akzeptiert worden, die Telefonnummern ungefragt an die Entwickler übermittelten. «Man könnte versuchen, Apples Kontrolleure auszutricksten, indem man beispielsweise die kriminellen Funktionen einer App erst nachträglich aktiviert», sagte Seriot.

«Apple soll seinen Aufnahmenprozess und die damit verbundenen Filtermechanismen verbessern oder aber in Unterlagen für Geschäftskunden nicht mehr behaupten, dass Applikationen keinen Zugriff auf Daten anderer Programme hätten», forderte Seriot. Der IT-Konzerrn aus Cupertino wollte sich bislang gegenüber 20 Minuten Online nicht äussern.