Quadrooter: Android-Sicherheitslücken betreffen 900 Millionen Geräte

Der Sicherheitsanbieter Check Point warnt vor vier schwerwiegenden Sicherheitslücken, die in nahezu allen Android-Smartphones und –Tablets mit Qualcomm-Chips stecken. Die als „Quadrooter“ bezeichneten Anfälligkeiten erlauben eine nicht autorisierte Ausweitung von Benutzerrechten. Ein Angreifer könnte mit ihrer Hilfe die vollständige Kontrolle über ein betroffenes Android-Gerät übernehmen. Nach Schätzungen von Check Point sind bis zu 900 Millionen Geräte weltweit anfällig.

Auf der Sicherheitskonferenz Def Con nannte Adam Donenfeld, leitender Sicherheitsforscher bei Check Point, erste Details zu Quadrooter. Ein Angreifer muss demnach ein Opfer zu Installation einer bösartigen Anwendung verleiten, die jedoch im Gegensatz zu anderer Android-Malware keine speziellen Berechtigungen benötigt. Solche Apps werden oft über Online-Marktplätze von Drittanbietern heruntergeladen. Viele Android-Geräte erlauben ab Werk jedoch nur Downloads aus Googles Play Store – der allerdings schon früher auch für die Verbreitung schädlicher Apps benutzt wurde.

Angreifer, die die Schwachstellen ausnutzen, erhalten Rootzugriff. Sie können also jegliche Daten auslesen, Einstellungen ändern, zusätzliche Apps installieren und auch die gesamte Hardware inklusive Kamera und Mikrofon steuern.

Check Point zufolge sind Geräte von nahezu allen namhaften Herstellern betroffen. Unter anderem sollen in Googles Nexus 5X, Nexus 6 und Nexus 6P, HTCs One M9 und HTC 10 sowie in Samsungs Galaxy S7 und S7 Edge eine oder mehrere der vier Anfälligkeiten stecken. Einen der Fehler fanden die Forscher sogar im Blackberry DTEK50, das das kanadische Unternehmen als das „sicherste Android-Smartphone“ der Welt bewirbt.

Ein Qualcomm-Sprecher erklärte, die Schwachstellen seien bekannt. Zwischen April und Juli hätten alle Gerätehersteller und auch die Open-Source-Community Patches erhalten. Google habe drei Löcher mit seinem August-Sicherheitsupdate geschlossen. Der vierte Patch sei jedoch nicht rechtzeitig fertig geworden. Google wiederum bestätigte, dass der vierte Patch im September zur Verfügung stehen wird.

Allerdings bieten neben Google derzeit nur Blackberry, LG und Samsung monatliche Sicherheitsupdates an. Sie beschränken die Fixes zudem auf wenige hochpreisige Geräte – Smartphones und Tablets im mittleren und unteren Preissegment gehen zumeist leer aus, selbst wenn sie zu den nur etwa 15 Prozent aller Android-Geräte gehören, auf denen Android 6.x Marshmallow läuft.

Check Point kritisiert in diesem Zusammenhang die Entwicklung und Verteilung von Patches. „Qualcomm hat eine wichtige Rolle in der Entwicklungskette, in der ein Smartphonehersteller den Android-Open-Source-Code nicht direkt von Google erhält, sondern von Qualcomm“, sagte Michael Shaulov, Head of Mobility Product Management bei Check Point. Das erschwere den Patch-Prozess und führe zu Verzögerungen. Im Fall von Quadrooter sei es beispielsweise nicht möglich gewesen, Fixes vor Ablauf der dreimonatigen Frist für die Veröffentlichung von Details zu ungepatchten Schwachstellen bereitzustellen.

„Derzeit hat niemand ein Gerät, das wirklich sicher ist“, so Shaulov weiter. „Das liegt eigentlich daran, dass es einige Probleme zwischen Google und Qualcomm gibt, wer welche Löcher stopft.“

Die Abläufe bei der Entwicklung von Sicherheitspatches für Smartphones stehen derzeit auch im Mittelpunkt einer gemeinsamen Untersuchung der US-Behörden FTC und FCC. Sie haben unter anderem bei Apple, Google, HTC, LG, Microsoft und Samsung Details über die Verteilung von Patches angefordert. Sie wollen unter anderem wissen, warum nicht alle Geräte mit Patches versorgt werden.

Check Point stellt eine App bereit, mit der Nutzer prüfen können, ob ihr Gerät anfällig für Quadrooter ist. Sie kann ab sofort kostenlos über den Google Play Store bezogen werden.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de