iPhone-Fotos unwiderruflich gelöscht? Die Gewinner der „Hacker-Olympiade“ könnten’s richten…

Pwn steht im Hacker-Jargon für „Own“ wie in „Owning“, sprich: die Übernahme eines Computers mitsamt Daten. Teilen sich die Olympischen Spiele in Sommer- und Winter-Disziplinen auf, so wechseln bei den Hacker-Games Desktop- (Anfang des Jahres) und Mobile Devices-Hacking (Ende des Jahres).

Das so flapsig anmutende Hacker-Event ist keineswegs eine Bewerbungsmesse für Kriminelle. Vielmehr müssen sich die Kandidaten bei ihren Prüfungen an strenge Zielvorgaben halten: Bei der Suche nach noch unentdeckten Zero Days heißt es, in einer halben Stunde „echte“ Einfallstore zu finden und mögliche Attacken gut zu dokumentieren, damit diese reproduziert werden können. Dann winkt ein hohes Preisgeld.

Gewinnerduo überzeugt mit iPhone-Foto-Wiederherstellungs-Hack

Die diesjährigen Gewinner der Mobile Pwn2Own, die am 13. November in Tokio endete, sind ein Duo, das sich den verheißungsvollen Namen @fluoroacetate gab. Fluoracetat ist ein schnell wirkendes und tödliches Gift. Dahinter verbergen sich Amat Cama und Richard Zhu. 

Ihr Gewinner-Hack lohnt einen detaillierteren Blick: Wie man Dateien von iPhones wiederherstellen kann, wird nach wie vor kontrovers diskutiert – aber: @fluoracetate entwickelte einen Weg, ein oder mehrere gelöschte Daten auf einer vorherigen iOS-Version zu erreichen.

In ihrer live Exploit-Demonstration nutzten sie ein Foto aus dem Ordner „Kürzlich Gelöscht“. Im iOS-Betriebssystem bei Apple ist es den Usern nicht möglich, Root-Rechte zu erlangen oder hinter die Kulissen nach gelöschten Daten zu schauen. Um also gelöschte Dateien zu finden, setzten Cama und Zhu auf einen sehr brauchbaren Fehler im Safari Browser, um iOS auszutricksen, sie in Content schauen zu lassen, der normalerweise keinen Zugriff erlaubt.

Das Risiko von Browser-Bugs dieser Art liegt darin, dass sie generell remote ausgenutzt werden können – man braucht nur sein Opfer dazu zu verleiten, auf einer Webseite zu gehen. Das reicht bereits, kein Download, keine Einstellungsänderungen etc. nötig.

215.000 US-Dollar Preisgeld fürs Hacken von Apple, Samsung und Xiaomi

Dieser Hack brachte dem unerschrockenen Duo 50.000 US-Dollar ein, insgesamt weniger als ein Viertel ihres gesamtem Preisgeldes. Hier ihre Gewinne:

• 30.000 US-Dollar für das Austricksen eines Xiaomi Mi6 Telefons durch automatisches Starten eines Web-Browsers mit anschließendem Download eines Exploit-Programms, alles via NFC (Nahfeldkommunikation).
• 50.000 US-Dollar für die Übernahme eines Samsung Galaxy S9: hier wurde ein Bug in der Basisband-Firmware ausgemacht. Hierbei handelt es sich um eine vom Verkäufer mitgelieferte Firmware, getrennt vom Betriebssystem selbst und programmiert, um auf die Telefonfunktionen des Geräts selbst zu achten, zum Beispiel Anrufe und Verbindungen zum 4G Netzwerk.
• 60.000 US-Dollar für den Hack eines iPhone X via eines Wi-Fi-Bugs.
• 25.000 US-Dollar für einen JavaScript-Fehler auf dem Xiaomi Mi6, das ihnen erlaubte, Daten von dem Gerät herauszuschleusen.

Das eifrige Hacker-Paar probierte auch die iPhone Xs Baseband-Firmware zu knacken, bekam das aber in dem festgelegten Zeitraum nicht hin. Nichtsdestotrotz nahmen sie für fünf erfolgreiche Zero-Days insgesamt 215.000 US-Dollar mit nach Hause.

Diese Ergebnisse zu ihren Geräten wurden gleich nach Ende der Veranstaltung an Apple, Samsung und Xiaomi gemeldet – man kann davon ausgehen, dass die Fehler bereits behoben wurden, bevor Cyberkriminelle sie ausnutzen konnten.

Und was ist jetzt mit den gelöschten iPhone-Fotos?

Was macht man nun mit dieser Erkenntnis über die doch-nicht-so-richtig-gelöschten Fotos auf dem iPhone? Wildes Agieren wäre unnötig – der Bug scheint nicht derart zu sein, dass Kriminelle ihn entdeckt haben, bevor er im Rahmen dieser Olympiade bekannt wurde.

Falls man aber besorgt über die gelöschten Fotos auf seinem iPhone ist: auf dem Gerät befindet sich ja eine zweite „Lösch“-Ebene in der Foto-Applikation. In der Liste der Alben gibt es ein Album mit Namen „Kürzlich Gelöscht“, eine Art Kurzzeit-Aufbewahrung. Bislang lassen sich die Fotos nach dem Löschen aus diesem Ordner nicht wieder zurückholen– auch mit @fluoracetate’s neuem Hack nicht.