Eine neue Sicherheitslücke macht etliche Android-Smartphones angreifbar.
Eine bislang unbekannte Android-Sicherheitslücke macht zahlreiche Smartphones angreifbar: Darunter Samsungs Galaxy S7, S8 und S9, das Huawei P20 und ältere Google-Pixel-Geräte. Grund zur Panik besteht dennoch nicht.
Derzeit klafft eine potenziell gefährliche Sicherheitslücke in zahlreichen Android-Smartphones. Das berichteten Ende letzter Woche Googles Sicherheitsspezialisten von «Project Zero». Die Lücke erlaube es Angreifern, die volle Kontrolle über das betroffene Smartphone zu erlangen, schreiben die IT-Experten. Hierzu müssen sie das Opfer dazu bringen, eine manipulierte App zu installieren oder sie versuchen einen Online-Angriff, der in Kombination mit einer weiteren Lücke in Chrome Erfolg verspricht.
Allerdings betrifft das Problem nur bestimmte Android-Smartphones. Gegenüber dem IT-Portal Ars Technica erklärte ein Mitglied von Project Zero, dass mindestens 18 verschiedene Modelle betroffen seien.
Eine nicht-abschliessende Liste betroffener Geräte:
Googles Project Zero gibt den Software-Entwicklern – egal ob Apple, Microsoft oder das eigene Android-Team – in der Regel 90 Tage Zeit für ein Sicherheitsupdate, bevor sie gefundene Lücken publik machen. In diesem Fall hat Project Zero dem Android-Team nur sieben Tage Zeit gewährt, weil die Lücke bereits aktiv ausgenutzt worden ist.
Auf Nachfrage von Ars Technica gab Google an, die Lücke mit dem Oktober-Sicherheitsupdate für die betroffenen Pixel-Geräte zu schliessen – was übers Wochende bereits passiert ist. Den entsprechenden Patch habe man auch den anderen Smartphone-Herstellern zur Verfügung gestellt, damit diese ihre Geräte ebenfalls absichern können. Wann genau die anderen Hersteller ihrerseits die Lücke schliessen, dürfte sehr unterschiedlich sein.
Schnell reagiert hat Samsung und den Oktober-Sicherheitspatch für gewisse Modelle wie das Galaxy S10 5G übers Wochende praktisch zeitgleich mit Google verteilt.
Mit dem Sicherheitspatch für Oktober 2019 wird die Lücke geschlossen. Samsung hat bereits reagiert. screenshot: watson
Die Lücke war bislang nicht öffentlich, wurde laut Project Zero allerdings bereits ausgenutzt. Trotzdem sei die Gefahr für den Durchschnittsnutzer vermutlich überschaubar, da es sich um einen sogenannten «Zero-Day-Exploit» handelt. So werden automatisierte Angriffe genannt, die bereits seit geraumer Zeit unauffällig, aber meist nur sehr selektiv gegen bestimmte Personen eingesetzt werden. Etwa gegen hochrangige Politiker, Manager oder Aktivisten, die Regierungen ein Dorn im Auge sind.
Das Tech-Magazin ArsTechnica kommt daher zu der Einschätzung, dass Besitzer gefährdeter Android-Geräte nicht in Panik verfallen sollten. Die Chance, Ziel der beschriebenen Angriffe zu werden, sei extrem gering.
In der Regel haben es die Nutzer von teuren Zero-Day-Exploits (z.B. Geheimdienste) nicht auf den Durchschnittsnutzer abgesehen. Sie versuchen breit angelegte Angriffe zu vermeiden und ihre Schadsoftware nur gezielt anzuwenden. Denn: Sobald Sicherheitsunternehmen auf die Malware aufmerksam werden, dauert es nicht lange, bis die Schwachstelle von Softwarefirmen wie Google, Apple und Microsoft geschlossen wird.
Zero-Day-Exploits sind sehr wertvoll, da etwa Geheimdienste viel Geld dafür bezahlen, eine solche Sicherheitslücke möglichst lange ausnutzen zu können, ohne dass sie bekannt und in der Folge geschlossen wird.
Die Experten von Project Zero gehen davon aus, dass die Angriffsmethode von der berüchtigten israelischen Firma NSO Group entwickelt und an staatliche Behörden verkauft wurde. NSO dementiert dies. Die NSO Group ist ein Technologieunternehmen, das üblicherweise mit Staaten und Geheimdiensten zusammenarbeitet, etwa um iOS- oder Android-Smartphones zu knacken.
Ein Zero Day Exploit gilt als besonders wertvolle Waffe, weil die Angriffsmethode (die Ausnutzung einer Schwachstelle) weder dem Hersteller noch den Sicherheitsfirmen bekannt ist und weil es darum keine Schutzmassnahmen gibt. Den Software-Herstellern bleiben bei Bekanntwerden null Tage Zeit («Zero Days»), die Softwarelücke zu schliessen, bevor effektiv Gefahr für die breite Masse der Anwender entsteht. Denn ist ein Zero Day Exploit erstmal öffentlich bekannt, ist es nur eine Frage von Tagen oder Wochen, bis er von gewöhnlichen Kriminellen für grossflächige Online-Angriffe eingesetzt wird.
Bis der eigene Smartphone-Hersteller das Oktober-Sicherheitsupdate verteilt hat, rät Project Zero dazu, möglichst keine Apps von ausserhalb des Google Play Stores zu installieren.
(oli/t-online.de)