Predator-Spyware gefährlicher als gedacht

Bereits Ende 2024 veröffentlichte die Google Threat Intelligence Group erste Ergebnisse zu der Spyware Predator, die der Intellexa Alliance zugerechnet wird. Aufbauend auf diesen Erkenntnissen hat das Threat Labs Team von Jamf eigene Analysen durchgeführt

Technisches Feedback an Angreifer

Die Untersuchungen zeigen, dass Predator über weitergehende Funktionen verfügt, die sowohl die Erkennung als auch die forensische Analyse deutlich erschweren. Ein zentrales Ergebnis der Analyse ist die vollständige Dokumentation eines internen Fehlercodesystems. Die Spyware übermittelt bei fehlgeschlagenen Infektionsversuchen automatisch spezifische Fehlercodes an ihre Betreiber. Diese Codes geben detailliert Auskunft darüber, warum ein Angriff nicht erfolgreich war, etwa durch das Eingreifen bestimmter Sicherheitsmechanismen. Auf diese Weise erhalten Angreifer verwertbare Rückmeldungen, um ihre Methoden gezielt anzupassen und zukünftige Angriffe zu optimieren.

Mechanismen zur Umgehung von Sicherheitsanalysen

Darüber hinaus identifizierten die Forscher mehrere technisch anspruchsvolle Funktionen, die gezielt auf die Vermeidung von Entdeckung ausgelegt sind. Dazu zählen unter anderem die Überwachung laufender Prozesse, die Erkennung von HTTP Proxys sowie das Identifizieren installierter Root Zertifikate. Auch das Vorhandensein von Debug Umgebungen wird erkannt, um Analyseversuche frühzeitig zu unterlaufen.

Ein weiterer Aspekt der Untersuchung betrifft den iOS Entwicklermodus. Die Analyse legt nahe, dass Predator diesen Modus gezielt ignorieren kann. Damit entfällt eine Schutzmaßnahme, die normalerweise zusätzliche Transparenz und Kontrollmöglichkeiten für Entwickler und Sicherheitsforscher bietet.

Bedeutung für die IT Sicherheit

Die Ergebnisse verdeutlichen, dass Predator technisch komplexer ist als bisher angenommen. Besonders kritisch ist die Fähigkeit der Spyware, selbst aus gescheiterten Angriffen verwertbare Informationen zu gewinnen. Dadurch können auch abgewehrte Angriffsversuche zur Weiterentwicklung künftiger Attacken beitragen. Aus Sicht der Sicherheitsforschung erhöht dies das Risiko erheblich und unterstreicht die Notwendigkeit, mobile Endgeräte weiterhin intensiv zu überwachen und Schutzmechanismen regelmäßig zu überprüfen.

Die Analyse wurde vom Threat Labs Team des Apple Sicherheitsanbieters Jamf durchgeführt.