Quadrooter: Android-Sicherheitslücken betreffen 900 Millionen Geräte

Betroffen sind Geräte mit Qualcomm-Chips. Ein Angreifer kann mithilfe schädlicher Apps Root-Rechte erhalten. Google hat im August erst drei der vier Schwachstellen in Android geschlossen. Der vierte Fix soll im September folgen.

Der Sicherheitsanbieter Check Point warnt vor vier schwerwiegenden Sicherheitslücken, die in nahezu allen Android-Smartphones und –Tablets mit Qualcomm-Chips stecken. Die als „Quadrooter“ bezeichneten Anfälligkeiten erlauben eine nicht autorisierte Ausweitung von Benutzerrechten. Ein Angreifer könnte mit ihrer Hilfe die vollständige Kontrolle über ein betroffenes Android-Gerät übernehmen. Nach Schätzungen von Check Point sind bis zu 900 Millionen Geräte weltweit anfällig.

Auf der Sicherheitskonferenz Def Con nannte Adam Donenfeld, leitender Sicherheitsforscher bei Check Point, erste Details zu Quadrooter. Ein Angreifer muss demnach ein Opfer zu Installation einer bösartigen Anwendung verleiten, die jedoch im Gegensatz zu anderer Android-Malware keine speziellen Berechtigungen benötigt. Solche Apps werden oft über Online-Marktplätze von Drittanbietern heruntergeladen. Viele Android-Geräte erlauben ab Werk jedoch nur Downloads aus Googles Play Store – der allerdings schon früher auch für die Verbreitung schädlicher Apps benutzt wurde.

Quadrooter (Screenshot: ZDNet.de)Angreifer, die die Schwachstellen ausnutzen, erhalten Rootzugriff. Sie können also jegliche Daten auslesen, Einstellungen ändern, zusätzliche Apps installieren und auch die gesamte Hardware inklusive Kamera und Mikrofon steuern.

Check Point zufolge sind Geräte von nahezu allen namhaften Herstellern betroffen. Unter anderem sollen in Googles Nexus 5X, Nexus 6 und Nexus 6P, HTCs One M9 und HTC 10 sowie in Samsungs Galaxy S7 und S7 Edge eine oder mehrere der vier Anfälligkeiten stecken. Einen der Fehler fanden die Forscher sogar im Blackberry DTEK50, das das kanadische Unternehmen als das „sicherste Android-Smartphone“ der Welt bewirbt.

Ein Qualcomm-Sprecher erklärte, die Schwachstellen seien bekannt. Zwischen April und Juli hätten alle Gerätehersteller und auch die Open-Source-Community Patches erhalten. Google habe drei Löcher mit seinem August-Sicherheitsupdate geschlossen. Der vierte Patch sei jedoch nicht rechtzeitig fertig geworden. Google wiederum bestätigte, dass der vierte Patch im September zur Verfügung stehen wird.

Allerdings bieten neben Google derzeit nur Blackberry, LG und Samsung monatliche Sicherheitsupdates an. Sie beschränken die Fixes zudem auf wenige hochpreisige Geräte – Smartphones und Tablets im mittleren und unteren Preissegment gehen zumeist leer aus, selbst wenn sie zu den nur etwa 15 Prozent aller Android-Geräte gehören, auf denen Android 6.x Marshmallow läuft.

Check Point kritisiert in diesem Zusammenhang die Entwicklung und Verteilung von Patches. „Qualcomm hat eine wichtige Rolle in der Entwicklungskette, in der ein Smartphonehersteller den Android-Open-Source-Code nicht direkt von Google erhält, sondern von Qualcomm“, sagte Michael Shaulov, Head of Mobility Product Management bei Check Point. Das erschwere den Patch-Prozess und führe zu Verzögerungen. Im Fall von Quadrooter sei es beispielsweise nicht möglich gewesen, Fixes vor Ablauf der dreimonatigen Frist für die Veröffentlichung von Details zu ungepatchten Schwachstellen bereitzustellen.

HIGHLIGHT

Mehr Sicherheit im smarten Zuhause

Wie Sie Ihr persönliches Internet der Dinge vor versteckten Gefahren schützen

„Derzeit hat niemand ein Gerät, das wirklich sicher ist“, so Shaulov weiter. „Das liegt eigentlich daran, dass es einige Probleme zwischen Google und Qualcomm gibt, wer welche Löcher stopft.“

Die Abläufe bei der Entwicklung von Sicherheitspatches für Smartphones stehen derzeit auch im Mittelpunkt einer gemeinsamen Untersuchung der US-Behörden FTC und FCC. Sie haben unter anderem bei Apple, Google, HTC, LG, Microsoft und Samsung Details über die Verteilung von Patches angefordert. Sie wollen unter anderem wissen, warum nicht alle Geräte mit Patches versorgt werden.

Check Point stellt eine App bereit, mit der Nutzer prüfen können, ob ihr Gerät anfällig für Quadrooter ist. Sie kann ab sofort kostenlos über den Google Play Store bezogen werden.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Android, Check Point, Google, Qualcomm, Security, Sicherheit, Smartphone, Tablet

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

8 Kommentare zu Quadrooter: Android-Sicherheitslücken betreffen 900 Millionen Geräte

Kommentar hinzufügen
  • Am 8. August 2016 um 21:55 von C

    Quadrooter betrifft die LTE-(Modem-)Treiber für Android.

    Unabhängig davon sind ältere Qualcomm CPU´s in Kombination mit dem Design des Sicherheitskonzepts von Google zur Geräte-Verschlüsselung angreifbar.

    LTE-Modem/Chip & CPU/Geräte-Verschlüsselung sind unterschiedliche Dinge. Im End-Ergebnis ist jedoch das Gerät angreifbar.

    Ein Grund mehr, sein Gerät zu rooten mit einem Open-Source-Mobil-OS, dass auch die Update-Thematik erledigt und die Sicherheit massiv erhöht. Gegen HW-Bugs ist kein Kraut gewachsen…auch nicht auf der Apfel-Seite.

    • Am 9. August 2016 um 12:12 von Patrick

      Du kannst aber Stark davon ausgehen, das bei bekanntwerden einer solchen Sicherheitslücke die Verteilung eines Hotfixes auf Apfelseite immens schneller sein wird.

      • Am 10. August 2016 um 2:56 von C

        Nein, OSS macht es schneller.

        CM z. B. hat Nightly Builds, während der angebissene Apfel schon mal länger braucht.

        Über die Google-Android-Fraktion brauchen wir nicht zu reden. Da ist vieles im Argen.

  • Am 8. August 2016 um 15:30 von Judas Ischias

    Wie heißt es immer so schön wenn man so etwas über Apple liest?
    Nicht so schlimm, müssen so viele Dinge zusammenkommen, bevor da wirklich eine echte Gefahr besteht.
    Und hier ist es auch so.
    Also @PeerH, Du kannst Dein Hyperventilieren wieder einstellen.;)

    • Am 9. August 2016 um 9:46 von PeerH

      Du weißt, was ‚hyperventillieren‘ bedeutet? Ich vermute, dass Du das nicht weißt. Aber nett, dass Du das Wort dennoch benutzt.

      • Am 9. August 2016 um 10:52 von Judas Ischias

        Doch, ich weiß was hyperventilieren bedeutet.
        Und Du hast jetzt bestimmt jede Menge Angst und Stress, dass Du hier in Kürze lesen musst:
        „Gefahr über Apple. Neuer Virus entdeckt. Eine Milliarde iPhone von Sicherheitslücken betroffen.“

        • Am 9. August 2016 um 20:52 von PeerH

          Wo ist das Problem? Zwei Tage später gibt es für alle das Fix zum Download. Und nun bei Android: wie lange dauert es da, bis das Fix beim Nutzer ankommt? Ewig? Oder Ewig minus zwei Tage? ;-)

  • Am 8. August 2016 um 10:26 von PeerH

    Selbst mit diesem Fix hilft das wenig, weil einige der Qualcomm Chips per Hardware Bug angreifbar sind. Sprich: man kann zwar ein Fix einspielen, und die Sicherheit wieder herstellen. Wenn man das Glück hat, dass einen das Fix erreicht.
    Aber: wenn der Angreifer das Gerät auf eine frühere Android Version (pre-Hotfix) zurücksetzt, kann er jederzeit den Hardware Bug ausnutzen, und auf die Daten zugreifen.

    Bedeutet: wer eines der Geräte besitzt, es sind sehr viele, der sollte das Gerät besser nicht verlieren. Seine Daten sind abgreifbar, sofern der Finder des Geräts weiß wie er das machen muss.

    Geringe Wahrscheinlichkeit bei einem normalen Verlust. Bei einem Diebstahl schon weniger ungefährlich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *