Android-Smartphones und -Tablets mit erheblichen Sicherheitsleck

8. Oktober 2012

Smartphones haben durch die enorme technische Entwicklung längst den Status als mobiler Alleskönner erreicht und stellen für viele Nutzer längst den wesentlichen Knotenpunkt der Onlinekommunikation dar. Fluch und Segen der Entwicklung bleibt die allgegenwärtige Verfügbarkeit der auf und in der Peripherie der Smartphones gespeicherten Daten. Ist das Gerät einmal verloren, gilt dies auch für viele darauf gespeicherte Daten. Problematisch wird dies vor allem, wenn es sich um sensible Daten handelt. Auch Samsung versuchte dieser Gefahr Herr zu werden, indem eine Fernlöschung der Daten ermöglicht wurde, die einen unbefugten Zugriff auf Daten nach Verlust verhindern soll.

Wie der Sicherheitsexperte Ravi Borgaonkar auf der Hackerkonferenz Ekoparty demonstrierte, ist es allerdings auch möglich Android-Smartphones von Samsung, bei denen der Hersteller die Android-Version mit eigener Software angepasst hat, aus der Ferne auf Werkseinstellungen zurückzusetzen. Dazu nutzte er eine Schwachstelle im Samsung-eigenen Wählprogramm, durch die einzelne Smartphone-Varianten ohne Rückfrage sogenannte USSD-Codes (Unstructured Supplementary Service Data) ausführen, die über speziell präparierte Links übergeben werden. Sendet man an ein solches Grät den Code *767*3855# wird das Handy in die Werkseinstellung zurück versetzt.

Als Einfallstelle solcher Links dienen etwa präparierte Websites, NFC-Tags oder WAP-Push-Nachrichten über SMS-Gateways. Heise-Online konnte die Sicherheitslücke zunächst in einem Test ebenfalls mit einem Samsung Galaxy S 2 mit Android 2.3.6. reproduzieren und stellte in der Folge fest, dass potentiell die meisten Smartphones und UMTS-Tablets betroffen sind, auf denen die Android Version Ice Cream Sandwich (4.0.x.) oder älter installiert ist. Als Lösung rät Heise zu einem Update auf Android 4.1.1 oder zur Installation eines Apps wie TelStop, NoTelURL oder USSD-Filter.

Kategorien: Mobile Business
Schlagwörter: ,