Start Technik heute Android Millionen von Android-Geräten könnten durch Fake-ID-Fehler gefährdet sein

Millionen von Android-Geräten könnten durch Fake-ID-Fehler gefährdet sein

48
0


AndroidFakeID_icon-300x300Ein neu entdeckter Fehler im Android-Betriebssystem von Google könnte eine große Anzahl von Mobilgeräten durch bösartige Apps gefährden, die anscheinend von vertrauenswürdigen Entwicklern stammen.

Von „Fake ID“ genannt Bluebox-Sicherheit die sie aufgedeckt und Google über ihre Anwesenheit informiert hat, lässt die Sicherheitsanfälligkeit bösartige Anwendungen ohne Benachrichtigung des Benutzers als speziell erkannte vertrauenswürdige Anwendungen imitieren. Obwohl im April ein Patch veröffentlicht wurde, sind viele Geräte wahrscheinlich immer noch gefährdet.

Der Fehler kann von Malware verwendet werden, um der normalen Anwendungs-Sandbox zu entkommen und eine oder mehrere böswillige Aktionen durchzuführen. Es könnte beispielsweise ein Trojanisches Pferd in eine Anwendung einschleusen, indem es sich als Adobe Systems ausgibt, Zugriff auf NFC-Finanz- und Zahlungsdaten erhalten, indem es sich als Google Wallet ausgibt, oder die vollständige Kontrolle über das gesamte Gerät übernehmen, indem es vorgibt, 3LM zu sein.

Fake ID war in den Android-Versionen 2.1 bis 4.4 vorhanden, wurde jedoch im April als Teil des neuesten Patches, dem Google-Bug 13678484, behoben. Android KitKat ist aufgrund einer Änderung des Webview-Codes immun. Millionen ungepatchter Geräte könnten jedoch weiterhin gefährdet sein. Googles eigene Statistiken geben an, dass mehr als 80 Prozent der Android-Benutzer ältere Versionen des Betriebssystems verwenden.

Fake ID funktioniert, indem ein Problem in der Art und Weise ausgenutzt wird, wie Android digitale IDs verwendet. Während das Betriebssystem prüft, ob eine App über die richtige ID verfügt, bevor es Berechtigungen gewährt, prüft es nicht, ob diese ID ordnungsgemäß ausgestellt wurde, sodass gefälschte ID-Codes verwendet werden können. Es ist auch möglich, dass eine einzelne App mehrere IDs trägt, wodurch mehrere Angriffe möglich sind.

Schreiben auf Blueboxs Blog Chief Technology Officer Jeff Forristal sagt: „Das Problem wird noch dadurch verschärft, dass mehrere Unterzeichner eine Android-Anwendung signieren können (solange jeder Unterzeichner alle gleichen Anwendungsteile signiert). Dies ermöglicht es einem Hacker, eine einzige bösartige Anwendung zu erstellen, die mehrere gefälschte Identitäten gleichzeitig zu nutzen, die Vorteile mehrerer Möglichkeiten der Signaturverifizierung zu nutzen, um der Sandbox zu entkommen, auf NFC-Hardware zuzugreifen, die für sichere Zahlungen verwendet wird, und die administrative Kontrolle des Geräts zu übernehmen, ohne dass der Benutzer des Geräts aufgefordert oder benachrichtigt wird“.

Bluebox hat ein veröffentlicht Sicherheitsscanner-App das überprüft, ob Ihr Gerät exponiert ist.



Vorheriger Artikel70 Prozent der Unternehmen würden ein Zutrittskontrollaudit nicht bestehen
Nächster ArtikelDer britische Tech-Chef legt einen 1-Millionen-Pfund-Fonds auf, um das Online-Geschäft zu schützen

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein