Vorsicht: WAP-Attacke legt Android-Smartphone in Endlos-Bootschleife

Eine Sicherheitsfirma namens Context hat eine heikle Sicherheitslücke entdeckt, die Android Smartphones in einer Endlos-Bootschleife verharren lassen kann. Zudem ist es möglich, über die Schwachstelle Code einzuschleusen und laut einem Bericht zumindest auch theoretisch möglich, Code auszuführen. Das berichtet The Inquirer mit dem Verweis auf verschiedene teilweise schon ältere Blogbeiträge der Sicherheitsfirma. Context hat demnach bereits im Sommer vergangenen Jahres die Sicherheitslücken gemeldet, und zwar allem Anschein nach nur an das Samsung Mobile Security Team. Entdeckt hatte Context das Problem auf einer Reihe Samsung Galaxy Smartphones. Es ist aber kein spezifisches Problem von Samsung.

Die böse Konfigurations-SMS

Die Schwachstelle ist ein Exot, aber einer, den wir eigentlich alle kennen: Es handelt sich um eine Konfigurations-SMS, eine so genannte WAP (Wireless Application Protocol)-SMS. Diese Technik wird seit 1999 eingesetzt und birgt nun, fast zwei Jahrzehnte später, Gefahr für Android-Smartphones.

Außer Gefecht

Laut Context lässt sich mit Hilfe einer manipulierten WAP-SMS ein WLAN-Access-Point auf dem Empfängerhandy öffnen. Diese SMS verursacht ein Problem auf dem Gerät, das sich dann mit einem Neustart behilft. Doch über den Bootvorgang hinaus kommt das so manipulierte Smartphone nicht mehr - es ist per SMS außer Gefecht gesetzt und unbrauchbar.

Andersherum funktioniert es aber laut Context auch, und hierbei lauert dann auch die zweite Gefahr der WAP-Attacke. Die Geräte lassen sich mit Hilfe einer zweiten Konfigurations-SMS wieder in den Normalzustand versetzen. Context stellt daher die Idee in den Raum, Angreifer könnten diese Schwachstelle als Erpresser-Tool nutzen und so Geld von ihren Opfern verlangen.

Wer ist betroffen

Soweit derzeit bekannt, betrifft das Problem vor allem ältere Geräte. Context hatte den Effekt beim Samsung Galaxy S4 und S5 beobachtet. Neue Geräte blieben verschont. Nachdem Context Samsung 2016 kontaktiert hatte, soll das Problem mit dem November-Update gefixt worden sein. Wie es nun aber genau mit Smartphones und Tablets anderer Hersteller aussieht, ist nicht ganz klar, derzeit laufen noch entsprechende Untersuchungen.

Siehe auch: Zahlreiche Android-Apps bergen recht pikante Details