Skadlig kod stjäl Apple ID:n från IOS-enheter upplåsta med jailbreak

När det talas om skadlig kod för mobila enheter är det operativsystemet Android som är drabbat av flest attacker. Apples IOS är inte immunt, och nyligen upptäcktes skadlig kod som sprids till IOS-enheter upplåsta med #jailbreak, rapporterar Ars Technica.

Nyheten om attacken dök först upp på forumet Reddit där användare rapporterade om att deras "jailbreakade" enheter börjat krascha upprepade gånger, ofta i samband med att de installerat vad som kallas för "tweaks", kod som gör det möjligt att modifiera IOS. Vanligtvis kommer de från app-butiken Cydia, ett alternativ till Apples egna App Store, men de här användarna har hittat tweaks på andra ställen.

Den skadliga koden har fått namnet Unflod efter namnet på ett bibliotek som finns installerat på de drabbade enheterna och säkerhetsforskaren Stefan Esser har gjort en statisk analys av koden.

Esser har skrivit ett blogginlägg om vad han upptäckt och säger att Unflod kopplas till den drabbade enhetens säkerhetsramverk och skannar efter strängar med Apple ID:t och det tillhörande lösenordet när de skickas till Apples servrar. När rätt uppgifter har hittats skickas de till andra servrar som kontrolleras av skaparna av Unflod.

Drabbade enheter bör återställas

Ars Technica har varit i kontakt med Esser som säger att kodbiblioteket som han undersökt inte innehåller någon 64-bitars version, så Unflod borde inte fungera på Apples nyare enheter (Iphone 5S, Ipad Air och Ipad Mini med Retina).

Reddit-användare säger att Unflod hittas genom att öppna SSH/Terminalen och söka i mappen /Library/MobileSubstrate/DynmicLibraries efter Unflod.dylib. Det är inte säkert att det räcker att radera filen då det är okänt hur den installeras från första början. Esser rekommenderar att återställa drabbade enheter, men noterar att "det betyder att personer blir av med sina jailbreak tills en ny släpps och majoriteten av jailbreak-användare kommer inte göra det". Drabbade användare rekommenderas också att byta lösenord till Apple ID:n associerade med enheten.

Cydia:s utvecklare Jay Freeman, mer känd som Saurik, kommenterar på Reddit att risken att koden tar sig in hans app-butik är mycket liten.

"Jag rekommenderar inte användare att lägga till slumpvisa länkar till Cydia och installera slumpvis mjukvara från otillförlitliga källor, på samma sätt som jag inte rekommenderar någon att öppna exe-filer från mejl på datorn."