Android: Sicherheitslücke gewährt Hackern volle Kontrolle über Smartphones

Offenbar ist unter Android eine kritische Sicherheitslücke vorhanden, die Hackern den vollen Zugriff auf ein Smartphone erlaubt – auch dann, wenn der Bildschirm (scheinbar) gesperrt ist. Google sei das Problem mittlerweile schon bekannt.

Der komplette Vorgang, durch den sich Hacker unerwünscht Zugriff auf Android-Smartphones verschaffen können, nennt sich "Cloak and Dagger". Sicherheitsforschern vom "Cloak and Dagger"-Team zufolge wird von einer schädlichen App etwa eine Grafik oder eine Benutzeroberfläche über das eigentliche Kontext-Menü gelegt. Für den Nutzer sieht es dadurch so aus, als würde er nur harmlose Anweisung antippen. In Wirklichkeit bestätigt er damit aber beispielsweise den Vollzugriff einer Anwendung, ohne es zu bemerken – das "Clickjacking" war erfolgriech.

Erst mit Android O behoben?

Wie der Trick funktioniert, demonstrieren die Sicherheitsforscher in einem Video, das Ihr oberhalb des Artikels findet. In der ersten Hälfte des Clips wird die schädliche Anwendung so gezeigt, wie sie auch ein Nutzer sehen würde: Die Anwendung fordert scheinbar harmlose Eingaben, anschließend wird ein Video abgespielt.

Allerdings befindet sich die Position des "OK"- oder "Fortfahren"-Buttons immer an einer anderen Stelle. Den Grund dafür zeigt die zweite Hälfte des Videos: Mit jedem Fingertipp gewährt der Nutzer der App unwissentlich spezielle Rechte. Die "harmlosen" Buttons befinden sich immer an genau der Position, an der das eigentliche und unsichtbare Menü die entsprechende Taste für die Rechtezuweisung hat. Während das Video in dem Beispiel-Clip anschließend abgespielt wird, gewährt sich zeitgleich die schädliche App selbst den Vollzugriff auf das Smartphone.

Durch das "Clickjacking" können Hacker also jederzeit ohne Einschränkungen auf ein Android-Smartphone und dessen Apps zugreifen, sogar ohne den Bildschirm zu aktivieren. Es sei ebenfalls möglich, alle künftigen Passworteingaben von dem Gerät abzufangen. Google ist die Sicherheitslücke angeblich bereits bekannt. In Android 7.1.2 ist demnach bereits ein Fix enthalten, der Überlagerungen von Zugriffsrechte-Anfragen unterbinden soll. Allerdings funktioniere dies nur bei "normalen" Genehmigungen, nicht etwa bei "speziellen" Genehmigungen wie in diesem Fall. Neue Sicherheitsmechaniken, um "Clickjacking" und Co. zu unterbinden, sollen erst mit dem Update auf Android O kommen.


Weitere Artikel zum Thema
iOS 11.1 Beta 4 veröf­fent­licht: Die Emojis kommen
Michael Keller6
Mit iOS 11.1 werden viele neue Emojis auf iPhone und iPad Einzug halten
Der Release des Updates auf iOS 11.1 mit den neuen Emojis naht: Apple hat die vierte Beta für iPhone, iPad und iPod touch zur Verfügung gestellt.
Apple Music, Spotify und Co. erhal­ten mehr Einfluss auf die Charts
Michael Keller
Apple Music soll bei der Chart-Platzierung ein stärkeres Gewicht zukommen
Apple Music hat im Musikgeschäft mehr Macht: Kostenpflichtige Streaming-Dienste haben künftig mehr Einfluss auf die US-Charts als Gratis-Angebote.
Nokia 3 erhält Sicher­heits­up­date für Okto­ber
Michael Keller1
Das Nokia 3 ist seit Ende Juni 2017 in Deutschland erhältlich
Das Nokia 3 wird mit dem Sicherheitsupdate für Oktober bedacht – und der Herausgeber zeigt, dass er nicht nur seine High-End-Smartphones im Blick hat.