Android-Lücke: Wie gefährlich ist Stagefright wirklich?

Ende Juni hat die Sicherheitsfirma Zimperium Labs eine schwerwiegende Android-Schwachstelle namens «Stagefright» angekündigt und am Mittwoch an der Hackerkonferenz Black Hat in Las Vegas publik gemacht. Alles nur heisse Luft? Könnte man meinen, wenn die Meldung von einer Sicherheitsfirma stammt, die schlussendlich auch auf Umsatz mit Security-Lösungen bedacht ist. Was Sie alles über die gegenwärtige Bedrohung wissen müssen, und wie Sie sich davor schützen, haben wir Ihnen in diesem Beitrag zusammengefasst.

Das Stagefright-Framework wird von Android und in Apps zum Abspielen von Multimediadateien genutzt. Da diese Schnittstelle vielerorts zum Einsatz kommt, kann Schad-Software auch über zahlreiche Wege ausgenutzt werden: etwa durch WhatsApp-Nachrichten oder über NFC. Die Gefahr lauert generell in 3GPP-oder MP4-Dateien. Der gefährlichste Angriffsvektor soll MMS darstellen, weil z.B. Google Hangouts eine solche Nachricht automatisch herunterlädt. Laut Zimperium läuft der MMS-Client auf jedem zweiten Smartphone mit Systemrechten. Landet eine solche Multimediadatei auf dem Smartphone, soll es die Kameras und das Mikrofon aktivieren und auf Fotos zugreifen können, sagen die Sicherheitsforscher.

Google hat die Sicherheitslücke bestätigt und stuft die Gefahr als hoch ein, relativiert aber gleichzeitig, dass ab Android 4.0 die Schutzfunktion Address Space Layout Randomization (ASLR) eingebaut wurde, die das Ausnutzen der Sicherheitslücke durch Speicherüberläufe zusätzlich erschwert. Somit ist das Risiko für diese Nutzerschicht etwas geringer, einem gezielten Angriff zum Opfer zu fallen. Ein Malware-Befall ist damit aber theoretisch immer noch möglich. Forbes berichtet von einer russischen Firma, die schon Anleitungen an Hacker verkaufen soll. Es lohnt sich daher dennoch, das Sicherheitsrisiko laufend zu beobachten.