Hacker erhalten 1 Mio. USD für untethered Jailbreak

Apples iOS-Betriebssystem zu hacken, hat sich in der Vergangenheit als besonders schwierig herausgestellt. Aber in der Welt der „Cybersecurity“ sind selbst die schwersten Ziele nicht unmöglich – lediglich der finanzielle Aufwand stellt ein Problem dar. Laut Wired sollen die Kosten für solche Aktionen bei rund einer Millionen US-Dollar liegen.

Am Montag hat sich das Sicherheits-Startup-Unternehmen „Zerodium“ bereit erklärt, das Geld an eine Hackergruppe zu zahlen, die es erfolgreich geschafft habe, mit einer besonderen Technik das iPhone zu hacken. Demnach soll der Hackangriff mittels eigens eingerichteter Website erfolgen. Sobald das iPhone diese Website besucht, sollen die Hacker Zugriff auf das Gerät haben. Zerodium selbst beschreibt diese Technik als Jailbreak, ein Ausdruck, der normalerweise von iPhone-Nutzern gebraucht wird, um nicht autorisierte Apps auf den Smartphones installieren zu können. Allerdings sei auch Vorsicht geboten: Der Gründer des Unternehmens, Chaouki Bekrar, habe verdeutlicht, dass zu ihren Kunden auch Regierungen zählen, die wohl ohne Zweifel Gebrauch von derartigen Hackermethoden machen würden und somit auch unwissende Ziele beobachtet werden können.

Our iOS #0day bounty has expired & we have one winning team who made a remote browser-based iOS 9.1/9.2b #jailbreak (untethered). Congrats!

— Zerodium (@Zerodium) 2. November 2015

Wie Bekrar in einem Interview mit Wired erklärte , haben tatsächlich zwei verschiedene Hackerteams die Belohnung in Anspruch nehmen wollen. Demnach wurde diese im September angekündigt, wobei der Hacker-Wettbewerb am 31. Oktober beendet werden sollte. Nach Ablauf der Zeit habe es lediglich eine Gruppe geschafft, einen kompletten und funktionierenden Angriff auf das iOS-Betriebssystem zu leisten. „Zwei Teams haben aktiv an der Herausforderung gearbeitet, wobei lediglich eine Gruppe einen vollständigen Jailbreak entwickelt hat. Das andere Team hat nur zum Teil einen Jailbreak geschafft, so dass sie sich möglicherweise für einen Teil der Belohnung qualifizieren können“, sagte Bekrar. Letzteres ist bis zum jetzigen Zeitpunkt jedoch noch unbestätigt.

Bekrar bestätigte ebenfalls, dass Zerodium plant, die technischen Details an ihre Kunden zu übermitteln. Allerdings wollen sie die Schwächen im iOS-Betriebssystem nicht sofort an Apple weiterleiten. Wahrscheinlich werden sie „zu einem späteren Zeitpunkt“ den Apple-Ingenieuren die besagten Technikdetails zukommen lassen, sodass diese in der Lage sind, einen geeigneten Patch gegen solche Angriffe zu entwickeln.

Die Anforderungen,  die mit der Verkündung des Wettbewerbs im September gestellt wurden , besagen, dass der versprochene Gewinn nur dann ausgezahlt werde, wenn der Hackangriff auf das iPhone „ferngesteuert, zuverlässig, im Stillen und ohne die Notwendigkeit einer Nutzer-Interaktion außer des Besuchs einer Website“ oder Text-Nachricht erfolge. Lediglich zwei iOS Web-Browser wurden innerhalb des Wettbewerbs zugelassen: Google Chrome und Safari. Bekrar gab jedoch keine Auskunft darüber, mit welchem der beiden Browser der Hack erfolgreich funktionierte. Auch Apple hat bisher keinen offiziellen Kommentar hierzu abgegeben.

Bei der Frage, wer das Preisgeld jetzt erhält, äußerte sich Bekrar wie folgt: „Wir haben geplant, keine genaueren Informationen für die Öffentlichkeit über die Aushändigung des Preisgeldes zu geben. Allerdings fanden wir es notwendig, die Community über die Sicherheit des iOS-Betriebssystems zu informieren. Diese ist mit Sicherheit sehr stabil, aber es ist nicht unmöglich, sie zu hacken.“