Android: SIM-Karten mit USSD-Codes sperren

Im Zusammenhang mit den so genannten USSD-Steuercodes und Android-Smartphones liegen einige neue Erkenntnisse vor. Über eine entsprechend präparierte Webseite kann ein Angreifer beispielsweise sehr einfach eine SIM-Karte sperren. Beim Aufruf einer solchen Webseite werden im Hintergrund diverse USSD-Befehle in Verbindung mit falschen PIN-Angaben an das Telefonmodul des jeweiligen Smartphones gesendet. Grundsätzlich könnte ein Angreifer auch soweit gehen und die PUK zehn Mal falsch eingeben. Dies hätte dann zur Folge, dass die Karte endgültig gesperrt wird.

Dem bisherigen Erkenntnisstand zufolge sind von dieser Problematik ausschließlich Smartphones mit Android-Betriebssystem betroffen. Geräte mit iOS von Apple oder auch Windows Phones scheinen hingegen nicht verwundbar zu sein.

Heise.de hat einen USSD-Check auf den Weg gebracht, über den man auf einfache Weise herausfinden kann, ob man mit seinem Gerät für solch einen Angriff grundsätzlich verwundbar ist. Sollte sich beim Aufruf der Adresse 'heise.de/ussd' eine 15-stellige IMEI-Nummer zeigen, so ist es äußerst wahrscheinlich, dass ein Angriff glücken würde.

Der Sicherheitsexperte Pau Oliva stellte im Rahmen der Hacker-Konferenz Ekoparty 2012 eine Methode vor, mit der sich Smartphones aus der Ferne komplett löschen lassen. Zu diesem Zweck wird auf die angesprochenen USSD-Codes gesetzt. Betroffen sei davon unter anderem das Samsung-Flaggschiff Galaxy S3, hieß es zunächst.

Samsung hat innerhalb von kurzer Zeit darauf reagiert und klargestellt, dass die Lücke bei aktuellen Geräten bereits von Haus aus geschlossen ist. Zudem hat man für die restlichen Kunden ein Update zur Verfügung gestellt.