Android: Sicherheitslücke betrifft 99 Prozent aller Geräte

Sicherheitsexperten der Firma Bluebox Security haben kürzlich auf eine weitreichende Sicherheitslücke im mobilen Betriebssystem Android hingewiesen. Die Lücke besteht bereits seit knapp 4 Jahren und betrifft etwa 99 Prozent aller Android-Endgeräte, die momentan im Umlauf sind. Die Sicherheitslücke ermöglicht es Hackern, Kontrolle über Geräte zu erlangen, Passwörter auszuspähen, auf das Mikrofon und die Kamera zuzugreifen und vieles mehr. So wäre es beispielsweise möglich, mehrere Millionen Android-Geräte zu einer Art Bot-Netz zusammenzuschließen. Mehreren Einschätzungen nach ist die Lücke aber weniger gefährlich, als es anfangs den Anschein machte.

Nahezu alle Android-Geräte sind betroffen

Betroffen sind laut Bluebox Security alle Android-Geräte ab Version 1.6 – also mit anderen Worten so gut wie jedes Endgerät, das sich momentan im Umlauf befindet. Die Sicherheitslücke bietet die kryptographischen Signaturen von Android-Apps als Einfallstor. Android-Apps werden als .apk-Dateien installiert und sind mit einer verschlüsselten Signatur versehen, die Manipulationen am Quellcode verhindern soll. Nach Angaben von Bluebox Security wurde allerdings eine Methode entdeckt, wie man manipulierte apk-Dateien an diesem System vorbeischmuggeln  und so Malware auf die Endgeräte bringen kann, ohne dass diese blockiert oder abgewiesen wird.

Die Lücke ist seit Februar bekannt

Bluebox hat sich bereits im Februar im Rahmen eines Bug-Reports an Google gewandt und wird auf der BlackHat Conference 2013 Proof-of-Concept für verschiedene Geräte vorstellen. Ein wirkliches Statement von Google steht noch aus, jedoch gab das Unternehmen bekannt, dass es letztlich an den Herstellern läge, ihre Geräte mit entsprechenden Updates zu versehen. Nach einem Bericht von ComputerWorld hat bisher nur Samsung reagiert und de Lücke mittels eines Updates für das Galaxy S4 zumindest auf diesem Gerät geschlossen. Hier kommt nun eine systembedingte Schwäche Androids zum Tragen: Updates müssen von den Herstellern für jedes Gerät einzeln freigegeben werden, und dies geschieht traditionell nur sehr langsam. Bisher ist Samsung der einzige Hersteller, der auf das Bekanntwerden der Lücke reagiert hat.

Partielles Containment

Auch wenn es letztlich an den Herstellern liegt, diese Lücke zu schließen und das bisher nur sehr langsam bis nahezu gar nicht passiert, hat Google dennoch Möglichkeiten, zu reagieren und diese auch genutzt. Laut CIO wurde der Google Play Store mit einem Update versehen, sodass Apps, die den Exploit nutzen nun erkannt und abgewiesen werden. Dies ist zwar zu begrüßen und erhöht die Sicherheit für viele Android-Nutzer erheblich, ist aber nicht geeignet, die Lücke vollends zu schließen. Zum einen gibt es mehrere Drittpartei-App-Stores für Android, und zum anderen können User immer noch dazu gebracht werden, für eine im Play Store erworbene App ein manuelles und verseuchtes Update einzuspielen.

Daher sollten Android-User momentan nur noch Apps aus dem Google Play Store beziehen und auch ihre Updates über diesen einspielen. Wer auf Apps von Drittpartei-Stores zurückgreift, geht momentan ein hohes Sicherheitsrisiko ein. Zumindest, bis die Lücke durch die Hersteller geschlossen wurde. Und das dürfte noch eine ganze Weile dauern bzw. wird höchstwahrscheinlich nicht vollends passieren.

 

(via Apple Insider)