In den meisten Fällen fanden die Sicherheitslücken bei Android keine große Verbreitung oder erforderten überhaupt ein Zutun des Nutzers. Beim neuesten Fall kann der Angreifer allerdings komplett ohne Zutun des Nutzers die volle Kontrolle über das Smartphone übernehmen – und das auch ohne dass der Nutzer es bemerkt. Betroffen sollen circa 950 Millionen User sein.
Das Sicherheitsunternehmen Zimperium Mobile Security hat eine schwere Lücke in Android entdeckt. Mit dem simplen Senden einer MMS ist ein Angreifer in der Lage, die volle Kontrolle über das Smartphone zu übernehmen. Dazu wird eine MMS an das Gerät des Nutzers gesendet, welche ein kurzes Video enthält. Darin befindet sich der Schadcode, der automatisch und völlig ohne Zutun des Users ausgeführt wird. Das bedeutet, im schlimmsten Falle merkt der Nutzer nicht einmal, dass sein Gerät infiltriert worden ist.
Schuld daran ist Androids Art, eingehende Nachrichten zu behandeln. Das Betriebssystem liest eingebettete Videos automatisch aus und stellt sie anschließend in der Galerie bereit – und dabei passiert es. Durch den fehlerhaften Code im Video wird diese Funktion entführt und ermöglicht dem Schadcode vollen Zugriff, auch auf Funktionen wie Kamera oder Mikrofon – und das alles ohne Abfrage von Berechtigungen.
Noch ehe das Smartphone den Nutzer über die eingehende Nachricht informieren kann, wird der Code ausgeführt. Was auch bedeutet, dass dieser die potenzielle Benachrichtigung auch deaktivieren und sich somit selbst verstecken kann, ohne dass der Nutzer überhaupt irgendetwas bemerkt.
Betroffen von dieser Lücke sind nahezu alle Android-Versionen, die älter als Android 4.1 sind – also immerhin elf Prozent aller sich im Umlauf befindenden Geräte. Lediglich Android 4.1 Jelly Bean verfügt über Maßnahmen, die einen Exploit von Sicherheitslücken erschweren. Zwar hat Google bereits einen Patch herausgegeben und an die Gerätehersteller verschickt, allerdings ist fraglich, ob die Geräte den Code jemals verwerten können oder nicht.
Gerade alte Smartphones und Android-Versionen werden kaum oder gar nie mit Updates versorgt, sodass die Gefahr hier sehr groß ist, dass die Lücke nicht gestopft wird. Da es sich um eine Systemfunktion handelt, kann auch Google nichts ausrichten, da diese nicht über den Play Store oder die Play Services aktualisiert wird.
Der Schadcode oder das betreffende Videosind derzeit noch nicht bekannt. Generell gilt: Je älter das System, desto größer die Gefahr. Google muss nun darüber nachdenken, ob man nicht auch diese Systemfunktionen in die Play Services auslagert, um sie selbst aktualisieren zu können und solchen Schäden vorzubeugen. [ag]
Bildquelle:
- Technik_Web_Artikelbild: © Victoria - Fotolia.com
