Android: Angreifer können Malware-Apps einfach per NFC unterschieben

Nutzer zahlreicher Android-Smartphones können attackiert werden, indem ein Angreifer sich nur mal kurz in ihre unmittelbare Nähe begibt. Denn dies reicht schon aus, um eine Malware-App auf dem fremden Gerät zu hinterlassen. Die Entwickler bei Google hatten die Schwachstelle einfach durch eine Unachtsamkeit in die Welt gebracht. Denn es handelte sich nicht um einen Programmierfehler, sondern um eine falsche Standard-Konfiguration, die längere Zeit einfach niemandem aufgefallen ist, die aber das Security-Konzept der Plattform kurzerhand aushöhlte.

Das Problem geht auf die Funktion Android Beam zurück. Dabei handelt es sich um ein Feature, das Android-Nutzern die Möglichkeit gibt, kurzerhand per NFC Bilder oder auch Musik auszutauschen. Grundsätzlich lassen sich auch andere Daten über diese Schnittstelle übertragen, darunter auch Apps. Bei letzteren wurde aber nicht nachgefragt, ob der User einer Installation zustimmen will, berichtet das US-Magazin ZDNet.

Lücke einfach abschalten

Normalerweise gibt es nur eine vertrauenswürdige Quelle, bei der nicht weiter nachgefragt wird: Der Play Store. Standardmäßig muss der Nutzer allen anderen Installationen aus externen Quellen zustimmen. Es gibt aber auch eine White List, über die einzelne Apps als vertrauenswürdig eingestuft werden konnten - das ermöglicht es einem Anwender beispielsweise, eine alternativen App-Plattform zu verwenden und hier ewige Nachfragen abzuschalten.

Aus einem nicht mehr nachvollziehbaren Grund war Android Beam hier aber ebenfalls ab Werk als vertrauenswürdig gekennzeichnet. Dadurch konnten von Außen Apps auf Smartphones geschoben werden, die direkt und ohne Nachfrage installiert und gegebenenfalls ausgeführt wurden. Google liefert mit dem Oktober-Update eine entsprechend angepasste Grundeinstellung aus. Wer Android 8 oder 9 nutzt und die entsprechenden Patches vom eigenen Hersteller noch nicht bekommen hat, kann aber selbst für mehr Sicherheit sorgen und in den NFC-Einstellungen das Beaming am Besten ganz abschalten.

Siehe auch: Android 10: Google löst großen Rückstau bei Sicherheitslücken auf