Schlagwort-Archive: Bluebox Security

Android-Desaster: Zero-Day-Exploit in 900 Millionen Smartphones und Tablets entdeckt

Super-GAU für Android-Nutzer: Eine Schwachstelle in Android betrifft alle Android-Smartphones der vergangenen vier Jahre und damit fast 900 Millionen Geräte. Die Lücke taucht laut der Sicherheitsfirma Bluebox Security im Android-Desaster Zero-Day-Exploit in 900 Millionen Smartphones und Tablets entdeckt_1Sicherheitsmodell von Android auf und erlaubt es Hackern Apps zu manipulieren, ohne dass App Store, Smartphone oder Nutzer davon etwas mitbekommen. Gelingt dies, kann der Eindringling mit dem Gerät alles machen was er will: von Datenklau über das Aufsetzen von mobilen Botnets bis hin zur Kontrolle jeder installieren App, sprich, Messaging-, Telefon oder Kamerafunktionen sowie dem Abgreifen aller gespeicherten Passwörter.

 

Gaukler im System

Laut Bluebox-CTO Jeff Forristall liegt das Problem, dass der Trojaner derart freie Bahn hat, an der Art wie Android Apps legitimiert und verifiziert werden. „Alle Android-Anwendungen beinhalten kryptografische Signaturen, die Android dazuAndroid-Desaster Zero-Day-Exploit in 900 Millionen Smartphones und Tablets entdeckt_2 nutzt zu entscheiden, ob eine App in Ordnung ist. Die aktuelle Schwachstelle macht es aber möglich, den Anwendungs-Code zu verändern, ohne die Signatur überhaupt anzufassen“, so Forristal in einem Blog-Beitrag. Auf diese Weise kann der Hacker dem System vorgaukeln, es handele sich um eine unveränderte und damit saubere App.

Google wisse seit Februar über das Problem Bescheid, so Bluebox, und habe seine Hardware-Partner informiert. Die müssten Android-Updates für Smartphones und Tablets bauen und sie zeitnah ausrollen. Allerdings, so Forristal diplomatisch, „unterscheiden sich die Release-Zyklen innerhalb der Geräte-Hersteller-Infrastruktur.“ Anders ausgedrückt: viele Android-Geräte sind sicherheitstechnisch nicht auf dem neuesten Stand und bei vielen Geräten wird es wohl überhaupt keine Updates mehr geben.

 

 

So schützen Sie sich

Die Lücke ist ziemlich fies und bisher ist kein Tipp bekannt, wie man sich zu 100 Prozent schützen kann. Am wirksamsten sollte ein Update für Android sein, doch darauf muss man bei der Vielfalt an Geräten und Herstellern wohl recht lange warten. Nutzer sollten sich auf möglichst wenige Quellen für Android-Apps beschränken, etwa auf den Google Play Store oder den Amazon App-Shop. Dort stellen die Entwickler ihre Apps selbst ein, eine manipulierte APK-Datei müsste schon über einen geknackten Entwickler-Account dort eingeschleust werden. Vermeiden sollte man dubiose Quellen für APKs und allzu tolle App-Schnäppchen, die an den großen Stores vorbei verteilt werden. Zweiter Sicherheitstipp: Security-Software für Android kann in APKs versteckte Malware finden oder verdächtiges Verhalten aufdecken. Wer dafür kein Geld ausgeben will, findet in der Gratis-App avast Mobile Security eine gute Alternative.  (sis/jg)

Schutz-App: Security-Apps für Android können versteckte Trojaner aufspüren.
Schutz-App: Security-Apps für Android können versteckte Trojaner aufspüren.