Android: Sicherheitslücke gewährt Hackern volle Kontrolle über Smartphones

Offenbar ist unter Android eine kritische Sicherheitslücke vorhanden, die Hackern den vollen Zugriff auf ein Smartphone erlaubt – auch dann, wenn der Bildschirm (scheinbar) gesperrt ist. Google sei das Problem mittlerweile schon bekannt.

Der komplette Vorgang, durch den sich Hacker unerwünscht Zugriff auf Android-Smartphones verschaffen können, nennt sich "Cloak and Dagger". Sicherheitsforschern vom "Cloak and Dagger"-Team zufolge wird von einer schädlichen App etwa eine Grafik oder eine Benutzeroberfläche über das eigentliche Kontext-Menü gelegt. Für den Nutzer sieht es dadurch so aus, als würde er nur harmlose Anweisung antippen. In Wirklichkeit bestätigt er damit aber beispielsweise den Vollzugriff einer Anwendung, ohne es zu bemerken – das "Clickjacking" war erfolgriech.

Erst mit Android O behoben?

Wie der Trick funktioniert, demonstrieren die Sicherheitsforscher in einem Video, das Ihr oberhalb des Artikels findet. In der ersten Hälfte des Clips wird die schädliche Anwendung so gezeigt, wie sie auch ein Nutzer sehen würde: Die Anwendung fordert scheinbar harmlose Eingaben, anschließend wird ein Video abgespielt.

Allerdings befindet sich die Position des "OK"- oder "Fortfahren"-Buttons immer an einer anderen Stelle. Den Grund dafür zeigt die zweite Hälfte des Videos: Mit jedem Fingertipp gewährt der Nutzer der App unwissentlich spezielle Rechte. Die "harmlosen" Buttons befinden sich immer an genau der Position, an der das eigentliche und unsichtbare Menü die entsprechende Taste für die Rechtezuweisung hat. Während das Video in dem Beispiel-Clip anschließend abgespielt wird, gewährt sich zeitgleich die schädliche App selbst den Vollzugriff auf das Smartphone.

Durch das "Clickjacking" können Hacker also jederzeit ohne Einschränkungen auf ein Android-Smartphone und dessen Apps zugreifen, sogar ohne den Bildschirm zu aktivieren. Es sei ebenfalls möglich, alle künftigen Passworteingaben von dem Gerät abzufangen. Google ist die Sicherheitslücke angeblich bereits bekannt. In Android 7.1.2 ist demnach bereits ein Fix enthalten, der Überlagerungen von Zugriffsrechte-Anfragen unterbinden soll. Allerdings funktioniere dies nur bei "normalen" Genehmigungen, nicht etwa bei "speziellen" Genehmigungen wie in diesem Fall. Neue Sicherheitsmechaniken, um "Clickjacking" und Co. zu unterbinden, sollen erst mit dem Update auf Android O kommen.


Weitere Artikel zum Thema
Sony Xperia L2 im Test: Wie viel Premium gibt es für 249 Euro?
Marco Engelien
Das Sony Xperia L2
7.5
Mit einem Preis von 249 Euro ist das Xperia L2 ist Sonys aktuell günstigstes Smartphone. Was ihr für das Geld bekommt, verraten wir euch im Test.
Android Wear 2.8: Update bringt dunklen Hinter­grund mit
Christoph Lübben
Von dem Update auf Android Wear 2.8 profitiert auch die Huawei Watch 2
Android Wear 2.8 ist das schwarze Update: Google spendiert Smartwatches einen dunklen Hintergrund, der auch die Akkulaufzeit beeinflussen könnte.
Huawei P smart vorge­stellt: viel Smart­phone für unter 300 Euro
Francis Lido5
Her damit !7Das Huawei P smart richtet sich insbesondere an junge Nutzer
Huawei hat ein neues Smartphone vorgestellt: Das Huawei P smart bietet respektable Technik zu einem vergleichsweise niedrigen Preis.