Neuer Angriff beim Laden untergräbt USB-Schutz von iOS und Android

Forscher haben die jahrelang als sicher geltenden Juice-Jacking-Abwehrmechanismen auf Smartphones ausgehebelt - ein speziell präpariertes Ladegerät kann unbemerkt sensible Daten abgreifen oder Zugriffe freischalten. iOS ist gefixt, Android bleibt kritisch.

USB-Ladeangriff umgeht iPhone- und Android-Schutz

Seit 2012 schützen iOS und Android ihre Nutzer mit Bestätigungsdialogen vor Juice Jacking, bei dem über manipulierte Ladegeräte unbemerkt Daten entwendet oder Schadcode eingeschleust wird. Doch diese Schutzmechanismen beruhen auf der Annahme, dass Ladegeräte keine Benutzerinteraktionen fälschen können.

Wissenschaftler der Technischen Universität Graz deckten nun mit der Methode "ChoiceJacking" einen grundlegenden Fehler auf. Sie nutzten USB- und Bluetooth-Standards geschickt aus, um Eingaben wie Tastendrücke oder Bestätigungen automatisiert zu simulieren. So wird der Zugriff auf Bilder, Dokumente und App-Daten ermöglicht - bei allen getesteten Geräten von acht Herstellern.


Das Angriffsszenario beginnt damit, dass das Ladegerät sich nach dem Anstecken zunächst als USB-Tastatur ausgibt. Dadurch kann es über einfache Tastenbefehle die Bluetooth-Funktion des entsperrten Smartphones aktivieren und es in den Kopplungsmodus versetzen. Gleichzeitig verbirgt sich im Inneren des Ladegeräts eine Miniatur-Bluetooth-Tastatur, die sich unmittelbar mit dem nun entdeckbaren Smartphone verbindet. Diese Bluetooth-Tastatur sendet anschließend Eingaben, um Dialoge zur Bestätigung einer Datenübertragung auf dem Gerät selbstständig zu akzeptieren. Voraussetzung für diesen Ablauf ist, dass der Bildschirm des Smartphones beim Anstecken entsperrt ist.

Wie Ars Technica beschreibt, wird anschließend der USB Power Delivery-Standard genutzt: Über einen sogenannten PD Data Role Swap wechselt das Ladegerät seine Rolle - es wird vom ursprünglichen USB-Peripheriegerät zum Host. Das Ladegerät initiiert danach eine Dateiübertragungsverbindung, deren Genehmigung durch die bereits gekoppelte Bluetooth-Tastatur erfolgt. Der Wechsel zwischen Peripherie- und Hostmodus sowie die simultane Nutzung zweier Kommunikationskanäle (USB und Bluetooth) erlaubt es, die Schutzmechanismen von iOS- und Android-Geräten vollständig zu umgehen, ohne dass ein physischer Zugriff des Angreifers auf das Smartphone notwendig ist.

Der ChoiceJacking-Angriff im Detail:
Neben der komplexeren ChoiceJacking-Variante beschrieben die Forscher zwei weitere Angriffstechniken, die ausschließlich Android betreffen: eine Schwachstelle im Android Open Accessory Protocol und ein gezielter Angriff auf den Input Dispatcher durch Event-Queue-Flooding. Beide Methoden unterlaufen die Spezifikationen von Android-Geräten und verschaffen ebenfalls Zugriff auf sensible Daten.

Apple löst, Android hinkt

Apple hat die Schwachstelle mit iOS/iPadOS 18.4 durch verpflichtende PIN- oder Passwortabfragen entschärft, Google reagierte mit Android 15 ähnlich. Viele Android-Hersteller, darunter Samsung, setzen diese Maßnahmen jedoch nicht vollständig um. "Das Problem ist tiefer im USB-Vertrauensmodell der Betriebssysteme verwurzelt", erklärte Florian Draschbacher, Hauptautor der Studie.

Auch wenn bisher keine Fälle aktiver Ausnutzung bekannt sind, könnte ChoiceJacking den Aufwand für Angreifer deutlich senken. Nutzer sollten vor allem auf Geräten ohne aktuelle Updates einen ganz einfachen und bewährten Sicherheitstipp beachten: nicht an öffentlichen USB-Ladestationen aufladen.


Siehe auch: