Öffentlich verfügbares Tool zum Infektionscheck für SpywareErkennungs-Tool für Pegasus und Konsorten

Das Global Research and Analysis Team (GReAT) von Kaspersky hat eine neue Erkennungsmethode für Pegasus und ähnlich ausgeklügelte iOS-Spyware entwickelt. Damit stellt der Cyber-Sicherheitsanbieter auf Github ein öffentlich verfügbares Tool zum Infektionscheck zur Verfügung.

Um Spyware-Infektionen einfacher zu identifizieren, haben die Kaspersky-Experten ein Selbstcheck-Tool für Nutzer entwickelt. Neben Pegasus werden auch die iOS-Spyware Reign und Predator erkannt. Die neue Erkennungsmethode konnten die Experten von Kaspersky entwickeln, da sie erkannten, dass Pegasus-Infektionen Spuren im Systemprotokoll „Shutdown.log“, das im Diagnosearchiv jedes mobilen iOS-Geräts enthalten ist, hinterlassen.

Das Archiv enthält Informationen zu jedem Reboot-Vorgang, so dass Anomalien der Pegasus-Malware im Protokoll sichtbar werden, sobald ein infizierter Nutzer sein Gerät neu startet. Dazu gehören unter anderem, insbesondere bei der Pegasus-Spyware, „haftende“ Prozesse, die Neustarts verhindern, sowie Infektionsspuren, die von der Cyber-Sicherheitscommunity entdeckt wurden.

Bei der Analyse der Shutdown.log von Pegasus-Infektionen fanden die Kaspersky-Experten den Infektionspfad „/private/var/db/“, der den Pfaden anderer iOS-Malware wie Reign und Predator entsprach. Die Kaspersky-Experten gehen davon aus, dass diese Protokolldatei das Potenzial birgt, Infektionen im Zusammenhang mit diesen Malware-Familien zu identifizieren.

Basierend auf diesen Erkenntnissen wurde ein Selbstcheck-Tool für Nutzer entwickelt. Mit Hilfe des The-Python3-Skripts kann der Shutdown.log leichter extrahiert, analysiert und geparst werden. Das Tool ist frei auf Github für MacOS, Windows und Linux verfügbar.

Die Analyse des Sysdiag Dump ist eine minimalinvasive und ressourcenschonende Methode, die sich auf systembasierte Artefakte stützt, um potenzielle iPhone-Infektionen zu identifizieren. Durch den Infektionsindikator aus diesem Protokoll und die Bestätigung der Infektion mit Hilfe der Verarbeitung anderer iOS-Artefakte durch das MVT (Mobile Verification Toolkit) wird das Protokoll nun Teil eines holistischen Ansatzes zur Untersuchung von iOS-Malwareinfektionen. Die Kaspersky-Experten haben die Verhaltensübereinstimmung mit anderen analysierten Pegasus-Infektionen verifiziert, so dass sie davon ausgehen, dass es als zuverlässiges forensisches Artefakt zur Unterstützung der Infektionsanalyse dienen wird.

Die Kaspersky-Empfehlungen zum Schutz vor fortgeschrittener iOS-Spyware lauten:

Geräte täglich neustarten. Denn Untersuchungen von Amnesty International und Citizen Lab zufolge basiert Pegasus oft auf nicht persistenten Zero-Click-Zero-Day-Exploits. Ein regelmäßiger Neustart kann helfen, das Gerät zu bereinigen; Angreifer müssten es damit immer wieder neu infizieren.
Den Lockdown-Modus nutzen, da öffentliche Berichte diesem Erfolge beim Blockieren von iOS-Malware-Infektionen attestieren.

iMessage und Facetime deaktivieren, die zu den am häufigsten ausgenutzten Diensten durch Hacker zählen, weshalb das Deaktivieren dieser das Risiko reduziert, von Zero-Click-Ketten infiziert zu werden.

Mobilgeräte regelmäßig updaten. Die neuesten iOS-Patches sollten umgehend installiert werden, da viele iOS-Exploit-Kits auf bereits gepatchte Schwachstellen abzielen.

Keine Links in Nachrichten öffnen, da Pegasus über 1-Click-Exploits per SMS, E-Mail oder Messenger verbreitet werden kann.
Regelmäßig Backups erstellen und Systemdiagnosen durchführen; Kaspersky-Tools können bei der Erkennung von iOS-Malware helfen. (rhh)

Hier ist das Tool zur Erkennung von Infektionen mit Pegasus verfügbar .