Kaum nach bekannt werden der Sicherheitslücke Stagefright, wurde eine weitere Sicherheitslücke im Multimedia-System des Betriebssystems Android, welches auf vielen Smartphones arbeitet, entdeckt. Mehr als die Hälfte Android-Geräte sind wohl von der Sicherheitslücke betroffen. Nach einem „erfolgreichen“ Angriff ist das Smartphone nicht mehr nutzbar. Besonders erschreckend, vor allem mittel alte und aktuelle Smartphones sind diesmal betroffen.

Bekommt das entsprechende Gerät ein Video im MKV-Container geschickt, welches entsprechend manipuliert wurde, wird das Gerät dauerhaft lahmlegen. Die Informationen hierzu stammen von den Sicherheitsforscher der Firma Trend Micro. Ein Patch der die Sicherheitslücke schließt ist derzeit nicht angekündigt.

Die Schwachstelle befindet sich laut den Sicherheitsforschern im Mediaserver der gefährdeten Android-Versionen. Öffnet ein Nutzer ein mit entsprechendem Schadcode behaftetem Video, soll neben dem Dienst auch das Smartphone aufgrund eines Speicherfehlers abstürzen. Das Smartphone ist danach nicht mehr nutzbar, da es sich nicht mehr entsperren lässt und Benutzereingaben stark verzögert und nahezu unmöglich sind. Außerdem kann der sich der Schadcode im Autostart verankern und so eine Neustart-Endlosschleife generieren.

Ob es derzeit Angreifer gibt welche die Sicherheitslücke bereits ausnutzen, ist den Sicherheitsforschern zur Folge nicht bekannt.

Auch hier empfiehlt die ToBo Media Production & IT-Service GdbR besten Schutz für das Smartphone, wie auch für den PC. Unserer Meinung bietet ESET derzeit hierfür das beste Produkt, sowohl für den PC, als auch im Bereich der Mobile Security:

Sicherheitslücken gibt es viele, egal ob am PC oder am Smartphone, egal welches Betriebssystem und welche Software. Nun wurde jedoch eine massive Android-Sicherheitslücke entdeckt, von der wohl bis zu 95% aller Smartphones und Tablets mit dem Betriebsystem Android betroffen sein sollen. Die Lücke wurde von den Forschern von Zimperium zLabs in der Android-Komponente „Stagefright“ entdeckt. Ein unsauber geschriebener Code ermöglicht, dass Angreifer ihren eigenen schadhaften Code direkt an Android-Smartphones schicken können. Sie müssen nur die Telefonnummer des Geräts wissen, das sei alles. Besonders schwerwiegend ist: Das Opfer kriegt nichts davon mit!

Stagefright ist in allen Android-Smartphones ab Version 2.2 und somit bei über 950 Millionen Stück, vorhanden. Die Angreifer brauchen nur ein Bild mit schadhaftem Code, egal auf welchem Weg, ob per MMS, Whatsapp oder einem anderen Messanger, an das Android-Handy verschicken. Außer der Handy-Nummer müssen sie nichts weiter über das Opfer wissen. Da die Komponente Stagefright auch von Google Hangouts genutzt wird, sind somit auch Tablet-PCs ohne Telefon-Funktion nicht sicher. Besonders das der Eigentümer des Handys nicht aktiv werden muss um den Schadcode zu aktivieren, macht das Problem besonders schlimm. Der Eigentümer muss weder einen Anhang öffnen, noch eine Datei aus dem Netz laden – je nach dem mit welcher Anwendung das Bild verschickt wird, muss er nicht einmal die Nachricht selbst öffnen. Theoretisch kann der Angriff also passieren, während der Handy-Besitzer schläft, vorausgesetzt das Telefon ist an.

Wenn der Schadcode aktiv ist, kann der Angreifer alle Funktionen des Telefons abfragen. Hierzu zählen neben den Inhalten wie Kontakte, Kalender und E-Mails auch der GPS-Standort, Das Mikrofon und die Kameras. Der Angreifer könnte somit wie mit einer Wanze alles mithören und – wenn das Telefon auf dem Tisch läge – auch sehen.

Einen Schutz ist bereits in Aussicht, Zimperium zLabs hat Google bereits per Mail auf die Sicherheitslücke hingewiesen und wohl sogar einen Patch mitgeschickt. Google habe sich angeblich bedankt und in der Antwort versichert, den Patch umgehend zu verteilen. Einige Hersteller von Androidsmartphones patchen ihre Geräte bereits eigenständig. Hierzu zählen neben dem Blackphone, auch Mozilla und Cyanogen-Mod.

Grundsätzlich sollten das Betriebsystem und die Apps regelmäßig aktualisiert werden. Sollte daher auch Ihr Smartphone melden, das neue Updates zur Verfügung stehen, sollten sie in Betracht ziehen diese umgehend zu installieren. Wenn Ihnen nicht ersichtlich ist, ob Ihr Android-Smartphone bereits ein Update gegen Stagefright bekommen hat, kann Ihnen der Support des Herstellers bzw. Ihres Mobilfunkanbieters weitere Informationen zukommen lassen.
Grundsätzlich, jetzt erst recht, folgender Hinweis: Gehen Sie immer und überall sparsam mit Ihren Daten um. Veröffentlichen Sie nicht einfach Ihre Handy-Nummer oder andere Kontaktdaten im Internet!

Grundsätzlich empfiehlt die ToBo Media Production & IT-Service GdbR einen Schutz für das Smartphone, wie auch für den PC. Unserer Meinung bietet ESET derzeit hierfür das beste Produkt, sowohl für den PC, als auch im Bereich der Mobile Security: