Categories: Workspace

Quadrooter: Android-Sicherheitslücken betreffen 900 Millionen Geräte

Der Sicherheitsanbieter Check Point warnt vor vier schwerwiegenden Sicherheitslücken, die in nahezu allen Android-Smartphones und –Tablets mit Qualcomm-Chips stecken. Die als „Quadrooter“ bezeichneten Anfälligkeiten erlauben eine nicht autorisierte Ausweitung von Benutzerrechten. Ein Angreifer könnte mit ihrer Hilfe die vollständige Kontrolle über ein betroffenes Android-Gerät übernehmen. Nach Schätzungen von Check Point sind bis zu 900 Millionen Geräte weltweit anfällig.

Auf der Sicherheitskonferenz Def Con nannte Adam Donenfeld, leitender Sicherheitsforscher bei Check Point, erste Details zu Quadrooter. Ein Angreifer muss demnach ein Opfer zu Installation einer bösartigen Anwendung verleiten, die jedoch im Gegensatz zu anderer Android-Malware keine speziellen Berechtigungen benötigt. Solche Apps werden oft über Online-Marktplätze von Drittanbietern heruntergeladen. Viele Android-Geräte erlauben ab Werk jedoch nur Downloads aus Googles Play Store – der allerdings schon früher auch für die Verbreitung schädlicher Apps benutzt wurde.

Angreifer, die die Schwachstellen ausnutzen, erhalten Rootzugriff. Sie können also jegliche Daten auslesen, Einstellungen ändern, zusätzliche Apps installieren und auch die gesamte Hardware inklusive Kamera und Mikrofon steuern.

Check Point zufolge sind Geräte von nahezu allen namhaften Herstellern betroffen. Unter anderem sollen in Googles Nexus 5X, Nexus 6 und Nexus 6P, HTCs One M9 und HTC 10 sowie in Samsungs Galaxy S7 und S7 Edge eine oder mehrere der vier Anfälligkeiten stecken. Einen der Fehler fanden die Forscher sogar im Blackberry DTEK50, das das kanadische Unternehmen als das „sicherste Android-Smartphone“ der Welt bewirbt.

Ein Qualcomm-Sprecher erklärte, die Schwachstellen seien bekannt. Zwischen April und Juli hätten alle Gerätehersteller und auch die Open-Source-Community Patches erhalten. Google habe drei Löcher mit seinem August-Sicherheitsupdate geschlossen. Der vierte Patch sei jedoch nicht rechtzeitig fertig geworden. Google wiederum bestätigte, dass der vierte Patch im September zur Verfügung stehen wird.

Allerdings bieten neben Google derzeit nur Blackberry, LG und Samsung monatliche Sicherheitsupdates an. Sie beschränken die Fixes zudem auf wenige hochpreisige Geräte – Smartphones und Tablets im mittleren und unteren Preissegment gehen zumeist leer aus, selbst wenn sie zu den nur etwa 15 Prozent aller Android-Geräte gehören, auf denen Android 6.x Marshmallow läuft.

Check Point kritisiert in diesem Zusammenhang die Entwicklung und Verteilung von Patches. „Qualcomm hat eine wichtige Rolle in der Entwicklungskette, in der ein Smartphonehersteller den Android-Open-Source-Code nicht direkt von Google erhält, sondern von Qualcomm“, sagte Michael Shaulov, Head of Mobility Product Management bei Check Point. Das erschwere den Patch-Prozess und führe zu Verzögerungen. Im Fall von Quadrooter sei es beispielsweise nicht möglich gewesen, Fixes vor Ablauf der dreimonatigen Frist für die Veröffentlichung von Details zu ungepatchten Schwachstellen bereitzustellen.

HIGHLIGHT

Mehr Sicherheit im smarten Zuhause

Wie Sie Ihr persönliches Internet der Dinge vor versteckten Gefahren schützen

„Derzeit hat niemand ein Gerät, das wirklich sicher ist“, so Shaulov weiter. „Das liegt eigentlich daran, dass es einige Probleme zwischen Google und Qualcomm gibt, wer welche Löcher stopft.“

Die Abläufe bei der Entwicklung von Sicherheitspatches für Smartphones stehen derzeit auch im Mittelpunkt einer gemeinsamen Untersuchung der US-Behörden FTC und FCC. Sie haben unter anderem bei Apple, Google, HTC, LG, Microsoft und Samsung Details über die Verteilung von Patches angefordert. Sie wollen unter anderem wissen, warum nicht alle Geräte mit Patches versorgt werden.

Check Point stellt eine App bereit, mit der Nutzer prüfen können, ob ihr Gerät anfällig für Quadrooter ist. Sie kann ab sofort kostenlos über den Google Play Store bezogen werden.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

2 Tagen ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

2 Tagen ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

2 Tagen ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

3 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

3 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

3 Tagen ago