Die Sicherheitsfirma FireEye hat eine Möglichkeit gefunden, Apps auf dem iPhone auszutauschen. Einem Nutzer kann so beispielsweise eine täuschend echt aussehende E-Mail-App untergeschoben werden, die heimlich Passwörter und Nachrichten mitliest. Ganz ohne Zutun des Nutzers funktioniert der "Masque Attack" aber zum Glück nicht.

Die FireEye-Forscher berichten in einem aktuellen Report , wie eine Sicherheitslücke ausgenutzt werden kann, um Apps auf ein Mobilgerät mit iOS 7 oder 8 zu installieren. Nach eigenen Angaben hat die Firma das Problem schon im Juli an Apple gemeldet.

Nun sei dem Team aufgefallen, dass die Lücke durch die relativ harmlose Schadsoftware "WireLurker" bereits ausgenutzt wurde. Es gebe aber noch weitaus gravierendere Möglichkeiten, Nutzer anzugreifen. In einem Video auf YouTube  zeigen sie ein Beispiel: Der Angreifer sendet eine Nachricht per SMS, iMessage oder E-Mail. In dieser wird der Nutzer über einen Link auf eine Download-Seite geschickt - in dem Beispiel ist es eine angebliche neue Version des Spiels "Flappy Bird".

Warnungen auf dem Telefon ernst nehmen

Der Link führt aber nicht in den offiziellen App Store von Apple, sondern auf eine manipulierte Webseite. Sie installiert auf dem iOS-Gerät dann eine Schadsoftware, die sich mit dem Server des Angreifers verbindet. Im Video ist dies eine täuschend echt als Gmail-App getarnte Spionagesoftware, die es ermöglicht, E-Mails und Telefonate zu überwachen. Auch Login-Daten etwa für das Online-Banking sollen so in die Hände von Angreifern fallen können.