Fehler in vorinstallierten Apps stellen Millionen von Android Geräten vor Hackern bloß

Ein neues Android Handy gekauft? Was, wenn ich sage, dass dein brandneues Smartphone aus der Ferne gehackt werden kann?

Fast alle Android Handys werden mit nutzlosen Anwendungen ausgeliefert, die von Herstellern oder Betreibern vorinstalliert sind, normalerweise als Bloatware bezeichnet, und es gibt nichts, was man tun kann, wenn eines von ihnen eine eingebaute Hintertür hat – selbst wenn man darauf achtet, vage Anwendungen zu vermeiden.

Das ist genau, was Sicherheitsforscher des mobilen Sicherheitsunternehmens Kryptowire auf der DEF CON Sicherheitskonferenz am Freitag demonstrierten.

Forscher enthüllten Details zu 47 verschiedenen Schwachstellen tief in der Firmware und Standardanwendungen (vorinstalliert und meist nicht entfernbar) von 25 Android Handys, die es Hackern ermöglichen könnten, Benutzer auszuspionieren und ihre Geräte werksseitig zurückzusetzen, wodurch Millionen von Android Geräten einem Hacker Risiko ausgesetzt wären.

Mindestens 11 dieser gefährdeten Smartphones werden von Unternehmen wie Asus, ZTE, LG und dem Essential Phone hergestellt und von US Betreibern wie Verizon und AT&T vertrieben.

Andere großen Android-Handys gehören Vivo, Sony, Nokia und Oppo, sowie viele kleinere Hersteller wie Sky, Leagoo, Plum, Orbic, MXQ, Doogee, Coolpad und Alcatel.

Manche Schwachstellen, die von Forschern entdeckt wurden, könnten es Hackern sogar ermöglichen, beliebige Befehle als Systembenutzer auszuführen, alle Benutzerdaten von einem Gerät zu löschen, Benutzer aus ihren Geräten auszuschließen, auf das Mikrofon des Geräts und andere Funktionen zuzugreifen, auf alle ihre Daten zuzugreifen, einschließlich ihrer E-Mails und Nachrichten, Textnachrichten zu lesen und zu ändern, Textnachrichten zu senden und vieles mehr – alles ohne das Wissen der Benutzer.

„All dies sind Schwachstellen, die bereitgelegt sind. Sie kommen, während du das Telefon aus dem Kasten heraus erhalten,“ sagte Kryptowire CEO Angelos Stavrou in einer Anweisung. „Das ist wichtig, weil die Verbraucher denken, dass sie nur exponiert bist, wenn sie etwas Schlechtes herunter lädst.“

Beispielsweise könnten Schwachstellen in Asus ZenFone V Live eine komplette Systemübernahme ermöglichen, die es Angreifern ermöglicht, Screenshots zu machen und den Bildschirm des Benutzers aufzuzeichnen, Anrufe zu tätigen, Textnachrichten auszuspionieren und vieles mehr.

Kryptowire, dessen Forschung vom U.S. Department of Homeland Security finanziert wurde, erklärte, dass diese Schwachstellen auf die offene Natur des Android Betriebssystems zurückzuführen sind, die es Dritten wie Geräteherstellern und Betreibern erlaubt, den Code zu modifizieren und völlig unterschiedliche Versionen von Android zu erstellen.

Kryptowire ist die gleiche Sicherheitsfirma, die Ende 2016 eine vorinstallierte Hintertür in mehr als 700 Millionen Android Smartphones aufdeckte, die alle 72 Stunden alle SMS, Anrufprotokoll, Kontaktliste, Standortverlauf und App Daten nach China verschickte.

Kryptowire hat die Schwachstellen verantwortungsbewusst an Google und die jeweils betroffenen Android Partner gemeldet, von denen einige die Probleme aktualisiert haben, während andere fleißig und schnell daran arbeiten, diese Probleme mit einem Patch zu beheben. Jedoch sollte darauf hingewiesen werden, dass das Android Betriebssystem selbst nicht anfällig für die offenbarten Probleme ist, Google kann nicht viel dagegen tun, da es keine Kontrolle über die von Herstellern und Betreibern vorinstallierten Drittanbieter Apps hat.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.