Android: Sicherheitslücke gewährt Hackern volle Kontrolle über Smartphones

Offenbar ist unter Android eine kritische Sicherheitslücke vorhanden, die Hackern den vollen Zugriff auf ein Smartphone erlaubt – auch dann, wenn der Bildschirm (scheinbar) gesperrt ist. Google sei das Problem mittlerweile schon bekannt.

Der komplette Vorgang, durch den sich Hacker unerwünscht Zugriff auf Android-Smartphones verschaffen können, nennt sich "Cloak and Dagger". Sicherheitsforschern vom "Cloak and Dagger"-Team zufolge wird von einer schädlichen App etwa eine Grafik oder eine Benutzeroberfläche über das eigentliche Kontext-Menü gelegt. Für den Nutzer sieht es dadurch so aus, als würde er nur harmlose Anweisung antippen. In Wirklichkeit bestätigt er damit aber beispielsweise den Vollzugriff einer Anwendung, ohne es zu bemerken – das "Clickjacking" war erfolgriech.

Erst mit Android O behoben?

Wie der Trick funktioniert, demonstrieren die Sicherheitsforscher in einem Video, das Ihr oberhalb des Artikels findet. In der ersten Hälfte des Clips wird die schädliche Anwendung so gezeigt, wie sie auch ein Nutzer sehen würde: Die Anwendung fordert scheinbar harmlose Eingaben, anschließend wird ein Video abgespielt.

Allerdings befindet sich die Position des "OK"- oder "Fortfahren"-Buttons immer an einer anderen Stelle. Den Grund dafür zeigt die zweite Hälfte des Videos: Mit jedem Fingertipp gewährt der Nutzer der App unwissentlich spezielle Rechte. Die "harmlosen" Buttons befinden sich immer an genau der Position, an der das eigentliche und unsichtbare Menü die entsprechende Taste für die Rechtezuweisung hat. Während das Video in dem Beispiel-Clip anschließend abgespielt wird, gewährt sich zeitgleich die schädliche App selbst den Vollzugriff auf das Smartphone.

Durch das "Clickjacking" können Hacker also jederzeit ohne Einschränkungen auf ein Android-Smartphone und dessen Apps zugreifen, sogar ohne den Bildschirm zu aktivieren. Es sei ebenfalls möglich, alle künftigen Passworteingaben von dem Gerät abzufangen. Google ist die Sicherheitslücke angeblich bereits bekannt. In Android 7.1.2 ist demnach bereits ein Fix enthalten, der Überlagerungen von Zugriffsrechte-Anfragen unterbinden soll. Allerdings funktioniere dies nur bei "normalen" Genehmigungen, nicht etwa bei "speziellen" Genehmigungen wie in diesem Fall. Neue Sicherheitsmechaniken, um "Clickjacking" und Co. zu unterbinden, sollen erst mit dem Update auf Android O kommen.


Weitere Artikel zum Thema
Phis­hing per iMes­sage und SMS: Betrü­ger haben es auf Apple IDs abge­se­hen
Guido Karsten
Nachrichten von unbekannten Kontakten mit Links darin sollten Euch immer nachdenklich stimmen
Messenger-Dienste wie iMessage werden immer wieder von Betrügern zweckentfremdet. In einem neuen Fall haben es Hochstapler auf Apple IDs abgesehen.
Einkau­fen per WhatsApp: Online-Super­markt Ally­ou­nee­dFresh macht's möglich
Guido Karsten
AllyouneedFresh YouTube
Bei AllyouneedFresh kann man jetzt auch per WhatsApp einkaufen. Die Lieferung erhaltet Ihr am nächsten Tag.
Char­lot­tes­ville: So gehen Apple, Spotify und Co. gegen rech­ten Hass vor
Jan Johannsen
Supergeil !5Proteste gegen die "Unite the right"-Kundgebung am 12. August in Charlottesville, Virginia.
Der Anschlag von Charlottesville und Trumps Reaktion rütteln die gesamte US-Techbranche auf.