Android-Malware: Forscher kapern Smartphones per Clickjacking

Sie schleusen eine schädliche App ein, die anschließend eine God-Mode-App installiert. Diese verfügt über alle Android-Berechtigungen. Bei Tests erkennen 20 von 20 Testpersonen weder den Diebstahl ihrer Anmeldedaten, noch die vollständige Kompromittierung ihres Smartphones.

Sicherheitsforscher von Georgia Tech und der University of California in Santa Barbara haben einen Design-Fehler in Android entdeckt (PDF), der es unter Umständen erlaubt, Anmeldedaten für beliebige Websites und Dienste zu stehlen. Der Cloak and Dagger genannte Angriff basiert auf Clickjacking, also dem Einblenden gefälschter Dialoge oder Fenster, mit deren Hilfe Nutzer dazu gebracht werden, bestimmte Aktionen auszuführen.

Security Android (Bild: ZDNet mit Material von Shutterstock/Mikko-Lemola und Google)Der Fehler steckt in der Funktion „System_Alert_Window“, die es einer App erlaubt, andere Apps mit einem eigenen Fenster zu überlagern. Diese Funktion wiederum kann den Forschern zufolge benutzt werden, um ohne Wissen des Nutzers eine weitere Funktion namens „Bind_Accessibility_Service“ einzuschalten. Sie soll eigentlich Nutzern mit Einschränkungen helfen. Diese Funktion bewirkt, dass Apps über alle Ereignisse informiert werden, die ein Gerät betreffen.

Eine Proof-of-Concept-App, die den Cloak-and-Dagger-Angriff ausführt, testeten die Forscher mit 20 Nutzern. Alle Probanden installierten bei der Interaktion mit der App unwissentlich eine sogenannte God-Mode-App, bei der alle Android-Berechtigungen aktiviert sind. Diese App wiederum erlaubte es den Forschern, die Anmeldedaten eines für diesen Test eingerichteten Facebook-Kontos auszulesen – ohne dass die Nutzer den Datendiebstahl bemerkten.

„Die Ergebnisse unsere Studie sind besorgniserregend. Obwohl die schädliche App tatsächlich Clickjacking ausführte um den Nutzer zu verleiten, die Berechtigung Bind_Accessibility_Service zu setzen, die God-Mode-App mit alle Berechtigungen installiert wurde und die Anmeldedaten des Facebook-Testkontos gestohlen wurden, hatte keine der Testpersonen auch nur den geringsten Verdacht für einen Angriff.“ Auch nachdem die Nutzer von der Kompromittierung ihres Geräts erfahren hätten, seien sie nicht in der Lage gewesen, irgendwelche ungewöhnlichen Aktivitäten zu erkennen.

Google ist das Problem inzwischen bekannt. Ein Update für den Sicherheitsdienst Google Play Protect soll nun verhindern, dass Apps ähnlich dem Proof of Concept der Forscher installiert werden. Weitere Schutzmaßnahmen sollen zusammen mit der kommenden OS-Version Android O eingeführt werden – wovon in absehbarer Zeit nur wenige Nutzer profitieren werden.

Darüber hinaus ist der Google Play Store leider dafür bekannt, dass er auch schädliche Apps verbreitet. Erst in der vergangenen Woche machte CheckPoint die nach eigenen Angaben „wahrscheinlich größte Malware-Kampagne“ öffentlich, die bisher in Googles Online-Marktplatz gefunden wurde. Die von einem südkoreanischen Unternehmen betriebene Kampagne soll bis zu 36,5 Millionen Nutzer betreffen. Die fraglichen Apps generieren betrügerische Werbeklicks für ihre Entwickler. Einige der insgesamt 41 Apps blieben über mehrere Jahre hinweg unentdeckt im Play Store.

ANZEIGE

Sie haben Optimierungsbedarf bei Ihren Logistikprozessen?

Die Lösung lautet: Dokumentenmanagement. Erfahren Sie im kostenlosen E-Book, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Ihre Logistikprozesse zu verbessern – von der Artikelnummer bis zur Zustellung. Lesen Sie außerdem, wie Sie ein DMS auch im laufenden Betrieb zeit- und kostensparend implementieren können.

[mit Material von Matthew Broersma, Silicon.co.uk]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Android, Checkpoint, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Android-Malware: Forscher kapern Smartphones per Clickjacking

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *