Schwere Android-Sicherheitslücke entdeckt

[Baron]

Thx- man lernt nie aus!

[Christoph]

Patch für Android-Desaster: Zero-Day-Exploit in 900 Millionen Smartphones und Tablets entdeckt

Super-GAU für Android-Nutzer: Eine Schwachstelle in Android betraf alle Android-Smartphones der vergangenen vier Jahre - seit System 1.6 - und damit potenziell fast 900 Millionen Geräte. Jetzt hat Google den Patch an die Hersteller ausgegeben, Samsung ist schon dabei ihn auszuliefern, zitierte Zdnet eine Google-Sprecherin.

Die Lücke tauchte laut der Sicherheitsfirma Bluebox Security im Sicherheitsmodell von Android auf und erlaubte es Hackern Apps zu manipulieren, ohne dass App Store, Smartphone oder Nutzer davon etwas mitbekommen. Datenklau über das Aufsetzen von mobilen Botnets, Ausspionieren und sogar die Kontrolle jeder installierten App war dadurch möglich - das Abgreifen der gespeicherten Passwörter inklusive.

Gaukler im System

Laut Bluebox-CTO Jeff Forristall liegt das Problem, dass der Trojaner derart freie Bahn hat, an der Art wie Android Apps legitimiert und verifiziert werden. "Alle Android-Anwendungen beinhalten kryptografische Signaturen, die Android dazu nutzt zu entscheiden, ob eine App in Ordnung ist. Die aktuelle Schwachstelle macht es aber möglich, den Anwendungs-Code zu verändern, ohne die Signatur überhaupt anzufassen", so Forristal in einem Blog-Beitrag. Auf diese Weise kann der Hacker dem System vorgaukeln, es handele sich um eine unveränderte und damit saubere App.

Google wisse seit Februar über das Problem Bescheid, so Bluebox, und habe seine Hardware-Partner informiert. Die müssten Android-Updates für Smartphones und Tablets bauen und sie zeitnah ausrollen. Allerdings, so Forristal diplomatisch, "unterscheiden sich die Release-Zyklen innerhalb der Geräte-Hersteller-Infrastruktur." Anders ausgedrückt: viele Android-Geräte sind sicherheitstechnisch nicht auf dem neuesten Stand und bei vielen Geräten wird es wohl überhaupt keine Updates mehr geben.

So schützen Sie sich

Die Lücke ist ziemlich fies und bisher ist kein Tipp bekannt, wie man sich zu 100 Prozent schützen kann. Am wirksamsten sollte ein Update für Android sein, doch darauf muss man bei der Vielfalt an Geräten und Herstellern wohl recht lange warten. Nutzer sollten sich auf möglichst wenige Quellen für Android-Apps beschränken, etwa auf den Google Play Store oder den Amazon App-Shop. Dort stellen die Entwickler ihre Apps selbst ein, eine manipulierte APK-Datei müsste schon über einen geknackten Entwickler-Account dort eingeschleust werden. Vermeiden sollte man dubiose Quellen für APKs und allzu tolle App-Schnäppchen, die an den großen Stores vorbei verteilt werden. Zweiter Sicherheitstipp: Security-Software für Android kann in APKs versteckte Malware finden oder verdächtiges Verhalten aufdecken. Wer dafür kein Geld ausgeben will, findet in der Gratis-App avast Mobile Security eine gute Alternative. (sis/jg)

Quelle: http://business.chip.de/news/Patch-f..._62866253.html