Android-Smartphones: Bei (USSD-)Anruf SIM-Tod

[Christoph]

Das Problem, dass Android-Smartphones automatisch in Webseiten eingeschleuste USSD-Steuercodes ausführen, zieht weitere Kreise. Auch Geräte anderer Hersteller als Samsung sind betroffen: So könnten Angreifer bei bestimmten HTC-Handys etwa die SIM-Karte unbrauchbar machen.

heise Security gelang es, eine Testseite zu erstellen, die mehrfach einen bestimmten USSD-Befehl in Kombination mit einer falschen PIN an das Telefonmodul des Smartphones schickt. Auf einem
HTC One XL wurde unmittelbar nach dem Aufruf der Testseite die SIM-Karte gesperrt. Zur Entsperrung sollten wir die PUK eingeben. Theoretisch hätten wir es auch noch weiter treiben und die Seite so präparieren können, dass sie die PUK zehn Mal falsch eingibt, was zur endgültigen Sperrung der Karte geführt hätte.

Wer auf eine solche Seite gelockt wird, ist über die eingelegte Karte also nicht mehr mobil erreichbar. Abhilfe schafft nur eine neue SIM-Karte, die man – in der Regel kostenpflichtig – beim Mobilfunkprovider bestellen muss.

Bislang scheinen ausschließlich Android-Smartphones für dieses Problem anfällig zu sein. Bei iPhones werden die Steuercodes offenbar nicht einmal dann an das System weitergereicht, wenn der Anwender in dem auftauchenden Dialog auf "Anrufen" tippt.

Ob das eigene Gerät betroffen ist, erfährt man gefahrlos über unseren USSD-Check, den Sie auch komfortabel über http://heise.de/ussd und http://ct.de/ussd erreichen. Zeigt das Handy beim Öffnen der Seite automatisch seine 15-stellige IMEI-Nummer an, ist es sehr wahrscheinlich verwundbar.

Der Angriffscode kann nicht nur auf Webseiten, sondern auch in QR-Codes lauern. Es gibt bislang unbestätige Gerücht, laut denen Angreifer auch gezielt Leute attackieren können, indem man ihnen eine WAP-Push-Nachricht oder HTML-Mail schickt.

Schützen kann man sich, indem man die Apps TelStop oder NoTelURL über Google Play installiert. Die Apps fangen das Aufrufen von TEL:-URLs ab, über die das Einschleusen der Steuercodes möglich ist.

Update vom 27.09., 15:00: Wird konnten das Problem auch mit einem Motorola RAZR XT910 nachvollziehen. Nach dem Aufruf der Testseite wurde die SIM-Karte sofort gesperrt. Windows Phone ist ersten Tests zufolge wie iOS nicht von dem Problem betroffen.

Quelle: http://www.heise.de/newsticker/meldu...d-1718789.html

Irgendwie bin ich froh kein Smartphone zu haben.

[mankra]

Ein Smartphone ist ein kleiner Computer, natürlich ergeben sich damit die gleichen Probleme, wie bei nem normalen PC.
Da laut einer aktuellen Studie inzwischen Smartphones die am meisten genutze Geräte im Internet sind, leitet dies auch die Angreifer darauf um.

[Christoph]

Klar, und auf den Smartphones gibt´s genug interessante Daten und man kann die Benutzer ärgern.

[FranzK]

Zitat von Christoph

Klar, und auf den Smartphones gibt´s genug interessante Daten und man kann die Benutzer ärgern.

Ich möchte dich aber darauf hinweisen, dass du als Smartphone-Besitzer NICHT verpflichtet bist, dubiose Webseiten aufzusuchen!

[Christoph]

Danke für Info, das wußte ich, als nicht Smartphonebesitzer, nicht.

[Baron]

Wie "unsmart".
Aber manchmal freut man sich schon über sein "altes rückständiges graffelwerk"-wenn ich mir so anschaue was den modernen "hippstern" so alles droht....

[mankra]

Mit einer mechanischen Schreibmaschine brauchst auch vor Trojanern, Würmern, Pishing Versuchen keine Angst haben

Früher oder später wird es nix Anderes als mehr oder wenger smarte Telefone geben und dementsprechend wirds sich auch jeder irgendwann damit befassen müssen.

[Baron]

Hast recht!
Aber solange es sich noch verhindern lässt.... und in 10 Jahren brauch ich dann eh ein Seniorenhandy mit großen tasten und Notfallknopf!

[Christoph]

Das Problem ist, daß viele Smartphones, wie Computer, benutzen, sich aber nicht der Möglichkeiten und Gefahren bewußt sind, leider.

[mankra]

Klar.

Mit den Smartphones + Tablets kommen auch Leute zu "Computern" und ins Internet, welche bis jetzt noch nix damit zu tun hatten.
Diese Geräte funktionieren Plug&Play, ohne große Einstellorgien und erschließen damit eine neue Nutzerschicht.