Forscher hacken Gmail-App mit beängstigender Erfolgsquote von 92 Prozent

android pirate

Sicherheitsforscher der University of Michigan und der University of California Riverside verschafften sich über eine Schwachstelle in Android Zugriff auf persönliche Daten. Bei der beliebten Email-App Gmail gelang ihnen das mit einer Erfolgsquote von 92 Prozent!

Der Fehler steckt in einer Funktion, die Android mit anderen Mobilbetriebssystemen gemeinsam hat: Alle Anwendungen können auf den gemeinsamen Speicher eines Mobilgeräts zugreifen. Obwohl sie ihren Angriff nur unter Android getestet haben, gehen sie davon aus, dass auch Windows Phone und iOS betroffen sind.

“Die Annahme war immer, dass diese Apps sich ohne Weiteres nicht gegenseitig behindern können”, sagte Zhiyun Qian, Professor an der University of California Riverside. “Wir zeigen, dass diese Annahme falsch ist und eine App tatsächlich erheblichen Einfluss auf eine andere haben kann, was ernste Konsequenzen für den Nutzer haben kann.”

Ihren Angriff haben die Forscher am Beispiel einer harmlosen Anwendung wie einem Hintergrundbild demonstriert, das jedoch Schadcode enthält. Nach der Installation konnen die Forscher die App benutzen, um auf die Speicherstatistiken aller Prozesse zuzugreifen. Dafür wird ihnen zufolge keine besondere Berechtigung benötigt.

Danach beobachteten sie die Veränderungen im gemeinsamen Speicher. Die Änderungen ordneten sie verschiedenen Aktivitäten zu, wie beispielsweise einer Anmeldung bei Gmail, oder das Fotografieren eines Schecks, um ihn Online bei der US-Bank Chase einzureichen. Das gelang ihnen mit einer Wahrscheinlichkeit zwischen 82 und 92 Prozent. Mithilfe weiterer Techniken waren sie sogar in der Lage, die Aktivitäten eines Nutzers in Echtzeit zu überwachen.

gmail-android86

Allerdings muss der Angriff auf eine Android-App genau in dem Moment stattfinden, in dem der Nutzer eine bestimmte Aktion ausführt. Außerdem müsse eine Attacke so durchgeführt werden, dass der Nutzer nichts davon merke, ergänzten die Forscher. Beides sei ihnen durch eine sorgfältige Abstimmung gelungen.

“Wir wissen, dass sich der Nutzer in der Banking-App befindet, und wenn er oder sie sich anmeldet, dann fügen wir einen identischen Log-in-Bildschirm ein”, sagte Qi Alfred Chen, Doktorand an der University of Michigan. “Das geschieht nahtlos, da wir den zeitlichen Ablauf genau kennen.”

Um sich vor den Folgen der Schwachstelle zu schützen, rät Qian, nur Anwendungen aus vertrauenswürdigen Quellen zu installieren. Zudem sollten Nutzer die Berechtigungen, die Apps einfordern, genau anschauen.

Weitere Details zu  ihrer Untersuchung PDF) wollen die Forscher morgen auf dem Usenix Security Symposium in San Diego bekannt geben. Die Ausnutzung der Schwachstelle zeigt Qi Alfred Chen zudem anhand mehrerer Videos in seinem Youtube-Channel.

Tipp: Wie sicher bist du bei der Sicherheit? Überprüfen dein Wissen – mit 15 Fragen auf silicon.de

Tags :Quellen:UCR TodayVia:Mit Material von Stefan Baiersmann, ZDNet.de
  1. Warum sollte das mit Windows Phone genauso funktionieren? Dann müsste das ja auch funktionieren die animierten Übergänge auszuschalten z.B.

  2. Kann bei iOS nicht funktionieren, da die Apps dort nicht selbstständig starten können. Lieber Autor, das ist ein Android-Problem.

  3. Der Angriff ist eine Art der Man-in-the-middle Technik. Der Angreifer loggt die befehle des Users, der bestimmte Aktionen ausführt mit Hilfe des Speichers! Das komplizierte daran ist jeder Aktion im Speicher der jeweiligen des Users zuzuordnen, gelingt das, klappt das auch auf dem iphone denn auch das iphone hat lediglich ein Speicher der von allen Apps und dem Betriebssystem genutzt wird! Man ging nur immer davon aus, daß eine Schadsoftware über dem Betriebssystem ausgeführt wird und da ist das ios sicherer da die jeweiligen Apps nur oberflächlich gestartet werden, ohne mehr rechte zu bekommen. Das perfide daran ist, dass die Technik von den Amerikanern an den Speicher reicht den es nur einmal gibt und somit alles darüber läuft.

    Lg

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising