Schwerwiegende Sicherheitslücken in Security-Apps für Android aufgedeckt

Sicherheitsforscher des Fraunhofer-Instituts für Sichere Informationstechnologie SIT haben in gängigen Security-Apps für Android gravierende Schwachstellen entdeckt. Das gilt unter anderem für Programme von Avira, Kaspersky, McAfee, Eset und Clean Master Security. Cyberkriminelle könnten die Lücken ausnutzen, um die Apps zu Angriffswerkzeugen umzufunktionieren und so die Kontrolle über ein Smartphone zu übernehmen. Nach Schätzungen des Fraunhofer SIT sind weltweit bis zu 675 Millionen Geräte gefährdet.

Auf den betroffenen Smartphones können Angreifer beispielsweise die Schutzfunktion der Sicherheits-App unbemerkt vom Nutzer abschalten. Ein Zugriff auf private Daten aus Adressbuch oder Kalender ist ebenfalls denkbar. „Im schlimmsten Fall lässt sich die Sicherheits-App in Ransomware verwandeln, mit deren Hilfe Verbrecher zum Beispiel das Handy sperren, um vom Smartphone-Besitzer Lösegeld zu erpressen“, erklären die Sicherheitsforscher.

Sie haben insgesamt sieben Sicherheitsanwendungen für Android-Smartphones untersucht: AndroHelm Antivirus, Avira Antivirus Security for Android, CM Security von Cheetahmobile, Eset Mobile Security & Antivirus, Kaspersky Internet Security for Android, Malwarebytes Anti Malware sowie McAfee (Intel Security) Security & Power Booster free. In allen analysierten Produkten wurden Sicherheitsprobleme aufgedeckt, allerdings handelte es sich um unterschiedliche Lücken mit verschiedenen Auswirkungen. Alle lassen sich aus der Ferne ausnutzen. Details zu den einzelnen Schwachstellen haben die Fraunhofer-Forscher auf der Website des Instituts veröffentlicht (PDF).

„Wir haben die Hersteller umgehend über die Sicherheitslücken informiert. Die überwiegende Mehrheit hat sofort reagiert und die Sicherheitslücken geschlossen“, sagte Michael Waidner, Leiter des Fraunhofer SIT. „Auf Smartphones, auf denen die Apps automatisch Updates aus den App-Stores herunterladen, sind die Sicherheitsprobleme behoben. Sofern Nutzer keine automatische Updatefunktion aktiviert haben, sollten sie die eigenen Apps umgehend aktualisieren, um sich vor möglichen Angriffen zu schützen.“

Ursache für viele der Schwachstellen ist der Update-Mechanismus für die Virensignaturen. Die Apps prüfen – respektive prüften – hier laut Fraunhofer SIT nicht ausreichend die Integrität des Updates. „Ist der Kanal, durch den das Update heruntergeladen wird, angegriffen worden, kann Code nach dem Man-in-the-Middle Prinzip eingeschleust werden“, so Waidner. „Eine einfache Methode hierbei ist ein Angriff über ein öffentliches WLAN. Gelingt einem Hacker der Zugriff über einen solchen öffentlichen Zugang, dann können alle Benutzer der Sicherheits-App, die denselben öffentlichen Zugang nutzen, zum Opfer eines solchen Angriffs werden.“

Für Unternehmen hatte das Fraunhofer SIT auf der CeBIT 2016 mit CodeInspect ein Werkzeug zur Qualitätskontrolle von Android-Apps vorgestellt. Damit sollen Sicherheitslücken und Malware im kompilierten Programmcode besonders schnell aufgespürt werden können. Mit CodeInspect lassen sich laut Fraunhofer SIT selbst unbekannte Software oder Software-Anteile schnell und effizient untersuchen, da es den Programmcode „in eine für Menschen verständliche Sprache“ übersetzt. Zudem kann die analysierte Software mit dem Tool auch verändert und im laufenden Betrieb beobachtet werden.

CodeInspect setzt auf dem Eclipse-Framework auf und eignet sich zur Analyse aller Android-Versionen. Die Software läuft unter Windows, Linux sowie Mac OS und wurde bereits vor der Vorstellung im März von mehreren Unternehmen und Software-Analysten getestet. Interessierten Firmen bietet das Fraunhofer SIT eine kostenlose Teststellung an.

[mit Material von Peter Marwan, silicon.de]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de