Schwachstelle bedroht Smartphones und Tablets

Bereits während RSA-Konferenz in San Francisco Ende Februar wurde der Proof of Concept eines Drive-by-Downloads für Android-Geräte gezeigt. Die Demonstration durch die Firma CrowdStrike wurde mit einem WebKit -Exploit durchgeführt, welches das Unternehmen einfach in der Internet-Szene gekauft hatte. CrowdStrike passte den Exploit an, ergänzte ihn mit einigen Skripten und packte ihn auf eine Webseite. Beim Anklicken eines Links zu dieser Webseite stürzt sofort der Android-Browser ab, lädt aber eine Malware und startet mit einem Reboot die Schadsoftware. Dabei erhält die Malware ausserdem Root-Zugriff auf das Android-System. Bei der RSA-Demonstration arbeitete die Schadsoftware anschliessend als Spyware, die Telefongespräche und SMS abhörte. Der Link zu der präparierten Webseite kann auf anderen Internetseiten enthalten sein, in E-Mails, SMS-Nachrichten oder Anhängen. Sobald der Internet-Browser darüber gestartet und die präparierte Webseite geladen wird, ist es passiert. Aktuelle Malware-Scanner sind bei dieser Art von Angriff wirkungslos und schlagen noch nicht einmal Alarm. Einen Schutz mit Zusatz-Software gibt es nicht. Eddy Willems, Security Evangelist bei GData, erklärte im Interview mit unserer deutschen Schwesterpublikation «TecChannel», dass schon diese Demonstration auf der RSA-Konferenz die Cyberkriminellen anregen dürfte, die Möglichkeiten auszuloten und dann mit neuen Threats und artverwandter Malware zuzuschlagen. Das Sicherheitsproblem lässt sich zudem nur mit einem Betriebssystem-Update beseitigen, denn WebKit ist darin enthalten. «Da es für viele Android-Smartphones und Tablets oft keine Updates mehr vom Gerätehersteller gibt, oder die Mobilfunkanbieter sie nur mit grosser Verzögerung bereitstellen, macht dies Android aktuell zu einem sehr angreifbaren System», argumentiert Willems. Lesen Sie auf der nächsten Seite: Weitere Plattformen grundsätzlich betroffen Allerdings ist das Grundproblem nicht auf Android beschränkt, denn das ursprünglich von Apple entwickelte Open-Source-Projekt WebKit findet auch unter Windows, Linux, Mac OS X, BlackBerry OS und Apple iOS Verwendung. Beispielsweise setzen die Browser Google Chrome und Apple Safari auf WebKit. Während sich Schachstellen dieser Art bei den Desktop-Betriebssystemen schnell durch ein Software-Update beseitigen lassen, ist auch bei BlackBerry OS und Apple iOS ein komplettes Betriebssystem-Update erforderlich. Derzeit ist allerdings noch kein Exploit für andere Systeme als Android 2.2 und 2.3. bekannt.

Der WebKit-Live-Hack auf der RSA-Konferenz: