Auf einigen Smartphones des koreanischen Herstellers Samsung gibt es eine Sicherheitslücke. Darauf wies der Berliner Ravi Borgaonkar auf der Ekoparty Sicherheitskonferenz in Buenos Aires hin. Er zeigte, wie Unbefugte auf einem Smartphone ein Factory Reset durchführen können. Dabei wird das Mobiltelefon auf die Werkseinstellungen zurückgesetzt. Alle darauf gespeicherten Nutzerdaten sind danach unwiederbringlich verloren. Wie auch auf Geräten einiger andere Smartphone-Hersteller kann auf Samsung-Smartphones ein USSD-Code verwendet werden, um das Gerät auf den Auslieferungszustand zurück zu setzen. (*2767*3855# ) Das ist beispielsweise bei einem Verkauf des genutzten Geräts sinnvoll. Alle Nutzerdaten werden dabei gelöscht. Dieser Code kann mit einem Trick aber auch von Unbefugten verwendet werden. Dabei wird die eigentlich nötige Bestätigung durch den Nutzer umgangen, indem die Funktion des automatischen Anrufens von Telefonnummern ausgenutzt wird.
Beispielsweise ist es möglich, ihn über eine manipulierte Internetseite auszulösen oder in der Webseite ein Schadcode platziert wird. Auch kann der Befehl über den NFC-Chip eingeschleust werden, falls ein solcher in dem Smartphone integriert ist oder es wird ein QR-Code verwendet. Per WAP-Push oder SMS könnte der USSD-Code ebenfalls auf auf das Gerät geschickt werden und dort ein Löschen der Daten auslösen, wenn der enthaltene Link angeklickt wird.
Betroffen sind offensichtlich Samsung-Modelle mit der TouchWiz-Benutzeroberfläche, die der Hersteller auf den meisten seiner Android-Geräten verwendet. Berichten zufolge sind die Modelle Galaxy 3, Galaxy S2, Galaxy Ace, Galaxy Beam und Galaxy S Advance betroffen und es ist nicht auszuschließen, dass diese Liste nicht vollständig ist.
Zwar ist es möglich, die Smartphone mit relativ einfachen technischen Mitteln zu manipulieren und alle Nutzerdaten zu löschen. Jedoch ist es nicht wahrscheinlich, wenn der Nutzer vorerst einiges beachtet. Es wird empfohlen, nicht den Standardbrowser, sondern einen alternativen Android-Browser zu verwenden. Diese können auf Webseiten angegebene Nummern zwar zum Anruf anbieten, aber nicht eigenständig wählen. WAP-Push sollte in den Nachrichteneinstellungen deaktiviert werden. Verdächtige Links sollten nicht angeklickt werden. Eine Datensicherung, zum Beispiel mit der App „Titanium Backup„ (Root-Rechte nötig) sorgt generell dafür, dass es keine bösen Überraschungen durch kompletten Datenverlust gibt.
Samsung hat bereits begonnen, ein Firmware-Update zu verteilen, das die Sicherheitslücke in dem Galaxy S3 schließt.
Hinterlasse jetzt einen Kommentar