Das Global Research and Analysis Team (GReAT) von Kaspersky hat eine neue Erkennungsmethode für Pegasus und ähnlich ausgeklügelte iOS-Spyware entwickelt. Damit stellt der Cybersicherheitsanbieter auf Github ein öffentlich verfügbares Tool zum Infektionscheck zur Verfügung [1].
Die Spyware Pegasus kam jüngst in Deutschland zum Einsatz [2]. Um entsprechende Spyware-Infektionen einfacher zu identifizieren, haben die Kaspersky-Experten ein Selbstcheck-Tool für Nutzer entwickelt. Neben Pegasus werden auch die iOS-Spyware Reign [3] und Predator [4] erkannt.
Die neue Erkennungsmethode konnten die Experten von Kaspersky entwickeln, da sie erkannten, dass Pegasus-Infektionen Spuren im Systemprotokoll „Shutdown.log“, das im Diagnosearchiv jedes mobilen iOS-Geräts enthalten ist, hinterlassen. Das Archiv enthält Informationen zu jedem Reboot-Vorgang, so dass Anomalien der Pegasus-Malware im Protokoll sichtbar werden, sobald ein infizierter Nutzer sein Gerät neu startet. Dazu gehören unter anderem, insbesondere bei der Pegasus-Spyware, „haftende“ Prozesse, die Neustarts verhindern, sowie Infektionsspuren, die von der Cybersicherheitscommunity entdeckt wurden [5].
Bei der Analyse der Shutdown.log von Pegasus-Infektionen fanden die Kaspersky-Experten den Infektionspfad „/private/var/db/“, der den Pfaden anderer iOS-Malware wie Reign und Predator entsprach. Die Kaspersky-Experten gehen davon aus, dass diese Protokolldatei das Potenzial birgt, Infektionen im Zusammenhang mit diesen Malware-Familien zu identifizieren.
Basierend auf diesen Erkenntnissen wurde ein Selbstcheck-Tool für Nutzer entwickelt. Mit Hilfe des The-Python3-Skripts [6] kann der Shutdown.log leichter extrahiert, analysiert und geparst werden. Das Tool ist frei auf Github für macOS, Windows und Linux verfügbar.
„Die Analyse des Sysdiag Dump ist eine minimalinvasive und ressourcenschonende Methode, die sich auf systembasierte Artefakte stützt, um potenzielle iPhone-Infektionen zu identifizieren“, erklärt Maher Yamout, Lead Security Researcher im GReAT von Kaspersky. „Durch den Infektionsindikator aus diesem Protokoll und die Bestätigung der Infektion mit Hilfe der Verarbeitung anderer iOS-Artefakte durch das MVT (Mobile Verification Toolkit) wird das Protokoll nun Teil eines holistischen Ansatzes zur Untersuchung von iOS-Malwareinfektionen. Wir haben die Verhaltensübereinstimmung mit anderen analysierten Pegasus-Infektionen verifiziert, so dass wir davon ausgehen, dass es als zuverlässiges forensisches Artefakt zur Unterstützung der Infektionsanalyse dienen wird.“
Das Tool zur Erkennung von Infektionen mit Pegasus ist verfügbar unter https://github.com/KasperskyLab/iShutdown
[1] https://github.com/KasperskyLab/iShutdown
[2] https://www.heise.de/news/Bericht-BKA-hat-Staatstrojaner-gegen-Reichsbuerger-eingesetzt-9595145.html
[3] https://citizenlab.ca/2023/04/spyware-vendor-quadream-exploits-victims-customers/
[4] https://citizenlab.ca/2023/10/predator-spyware-targets-us-eu-lawmakers-journalists/
[5] https://citizenlab.ca/2023/04/spyware-vendor-quadream-exploits-victims-customers/
[6] https://github.com/KasperskyLab/iShutdown
[7] https://github.com/kasperskylab