iPhone-Fotos unwiderruflich gelöscht? Die Gewinner der „Hacker-Olympiade“ könnten’s richten…

Ob Hacken nun ein angemessenes Hobby zum Zeitvertreib ist – darüber lässt sich streiten. Öffentliche Beachtung findet diese Beschäftigung in jedem Fall zwei Mal pro Jahr, wenn es bei dem internationalen Wettbewerb Pwn2Own darum geht, den besten „Bug-Hunter“ zu küren, also denjenigen, der Programmfehler, durch die man eindringen kann, als erstes aufspürt.

Pwn steht im Hacker-Jargon für „Own“ wie in „Owning“, sprich: die Übernahme eines Computers mitsamt Daten. Teilen sich die Olympischen Spiele in Sommer- und Winter-Disziplinen auf, so wechseln bei den Hacker-Games Desktop- (Anfang des Jahres) und Mobile Devices-Hacking (Ende des Jahres).

Das so flapsig anmutende Hacker-Event ist keineswegs eine Bewerbungsmesse für Kriminelle. Vielmehr müssen sich die Kandidaten bei ihren Prüfungen an strenge Zielvorgaben halten: Bei der Suche nach noch unentdeckten Zero Days heißt es, in einer halben Stunde „echte“ Einfallstore zu finden und mögliche Attacken gut zu dokumentieren, damit diese reproduziert werden können. Dann winkt ein hohes Preisgeld.

Gewinnerduo überzeugt mit iPhone-Foto-Wiederherstellungs-Hack

Die diesjährigen Gewinner der Mobile Pwn2Own, die am 13. November in Tokio endete, sind ein Duo, das sich den verheißungsvollen Namen @fluoroacetate gab. Fluoracetat ist ein schnell wirkendes und tödliches Gift. Dahinter verbergen sich Amat Cama und Richard Zhu. 

Ihr Gewinner-Hack lohnt einen detaillierteren Blick: Wie man Dateien von iPhones wiederherstellen kann, wird nach wie vor kontrovers diskutiert – aber: @fluoracetate entwickelte einen Weg, ein oder mehrere gelöschte Daten auf einer vorherigen iOS-Version zu erreichen.

In ihrer live Exploit-Demonstration nutzten sie ein Foto aus dem Ordner „Kürzlich Gelöscht“. Im iOS-Betriebssystem bei Apple ist es den Usern nicht möglich, Root-Rechte zu erlangen oder hinter die Kulissen nach gelöschten Daten zu schauen. Um also gelöschte Dateien zu finden, setzten Cama und Zhu auf einen sehr brauchbaren Fehler im Safari Browser, um iOS auszutricksen, sie in Content schauen zu lassen, der normalerweise keinen Zugriff erlaubt.

Das Risiko von Browser-Bugs dieser Art liegt darin, dass sie generell remote ausgenutzt werden können – man braucht nur sein Opfer dazu zu verleiten, auf einer Webseite zu gehen. Das reicht bereits, kein Download, keine Einstellungsänderungen etc. nötig.

215.000 US-Dollar Preisgeld fürs Hacken von Apple, Samsung und Xiaomi

Dieser Hack brachte dem unerschrockenen Duo 50.000 US-Dollar ein, insgesamt weniger als ein Viertel ihres gesamtem Preisgeldes. Hier ihre Gewinne:

  • 30.000 US-Dollar für das Austricksen eines Xiaomi Mi6 Telefons durch automatisches Starten eines Web-Browsers mit anschließendem Download eines Exploit-Programms, alles via NFC (Nahfeldkommunikation).
  • 50.000 US-Dollar für die Übernahme eines Samsung Galaxy S9: hier wurde ein Bug in der Basisband-Firmware ausgemacht. Hierbei handelt es sich um eine vom Verkäufer mitgelieferte Firmware, getrennt vom Betriebssystem selbst und programmiert, um auf die Telefonfunktionen des Geräts selbst zu achten, zum Beispiel Anrufe und Verbindungen zum 4G Netzwerk.
  • 60.000 US-Dollar für den Hack eines iPhone X via eines Wi-Fi-Bugs.
  • 25.000 US-Dollar für einen JavaScript-Fehler auf dem Xiaomi Mi6, das ihnen erlaubte, Daten von dem Gerät herauszuschleusen.

Das eifrige Hacker-Paar probierte auch die iPhone Xs Baseband-Firmware zu knacken, bekam das aber in dem festgelegten Zeitraum nicht hin. Nichtsdestotrotz nahmen sie für fünf erfolgreiche Zero-Days insgesamt 215.000 US-Dollar mit nach Hause.

Diese Ergebnisse zu ihren Geräten wurden gleich nach Ende der Veranstaltung an Apple, Samsung und Xiaomi gemeldet – man kann davon ausgehen, dass die Fehler bereits behoben wurden, bevor Cyberkriminelle sie ausnutzen konnten.

Und was ist jetzt mit den gelöschten iPhone-Fotos?

Was macht man nun mit dieser Erkenntnis über die doch-nicht-so-richtig-gelöschten Fotos auf dem iPhone? Wildes Agieren wäre unnötig – der Bug scheint nicht derart zu sein, dass Kriminelle ihn entdeckt haben, bevor er im Rahmen dieser Olympiade bekannt wurde.

Falls man aber besorgt über die gelöschten Fotos auf seinem iPhone ist: auf dem Gerät befindet sich ja eine zweite „Lösch“-Ebene in der Foto-Applikation. In der Liste der Alben gibt es ein Album mit Namen „Kürzlich Gelöscht“, eine Art Kurzzeit-Aufbewahrung. Bislang lassen sich die Fotos nach dem Löschen aus diesem Ordner nicht wieder zurückholen– auch mit @fluoracetate’s neuem Hack nicht.

Über die Sophos Technology GmbH

Mehr als 100 Millionen Anwender in 150 Ländern verlassen sich auf Sophos‘ Complete-Security-Lösungen als den besten Schutz vor komplexen IT-Bedrohungen und Datenverlust. Sophos bietet dafür preisgekrönte Verschlüsselungs-, Endpoint-Security-, Web-, Email-, Mobile- und Network Security-Lösungen an, die einfach zu verwalten, zu installieren und einzusetzen sind. Das Angebot wird von einem weltweiten Netzwerk eigener Analysezentren, den SophosLabs, unterstützt.

Sophos hat seinen Hauptsitz in Boston, USA, und Oxford, Großbritannien. In Deutschland hat das Unternehmen seinen Hauptsitz in Wiesbaden und ist in Österreich und der Schweiz je an einem Standort vertreten. Weitere Informationen unter www.sophos.de.

Firmenkontakt und Herausgeber der Meldung:

Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de

Ansprechpartner:
Jörg Schindler
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.