Android: Certifi-gate-Schwachstelle von Play Store-App missbraucht

Auf der Hacker-Konferenz Black Hat wurde kürzlich eine weitere Schwachstelle vorgestellt, die auf zahlreichen Android-Systemen zu finden ist. Nun stellte sich heraus, dass diese bereits seit Monaten von einer App ausgenutzt wird, die ganz offiziell in Googles Play Store angeboten wurde.
Betroffene Geräte
Gefunden und erläutert wurde die Sicherheitslücke von Experten des Security-Unternehmens Check Point. "Certifi-gate" nannten diese das Problem. Dessen Ursache lag darin, dass die Zertifikate von Remote-Support-Anwendungen nicht in ausreichendem Maße geprüft werden. Kapert beispielsweise eine Malware eine solche digitale Signatur, kann sie mit ebenso weitreichenden Rechten unter Android ausgeführt werden.

Anwendungen wie TeamViewer oder Rsupport erhalten von den jeweiligen Geräte-Herstellern Zertifikate zugewiesen, die ihnen Rechte auf den Systemen einräumen, die normale Apps eigentlich nicht erhalten. Hier müsste dann eigentlich geprüft werden, ob das fragliche Zertifikat auch wirklich von der App verwendet wird, für die es bestimmt war. Das ist aber nicht auf allen Geräten vollumfänglich der Fall, so dass diese dann angreifbar sind.

Bei der jetzt bekannt gewordenen App handelte es sich glücklicherweise um keinen wirklichen Schädling. Die Anwendung ermöglichte es dem Nutzer, die Bildschirmdarstellung aufzuzeichnen. Allerdings demonstrierte sie sehr gut, wie im Zweifelsfall auch eine Malware das Problem ausnutzen und echten Schaden anrichten könnte.

Damit die fragliche App namens "Recordable Activator" ihrer Aufgabe nachkommen kann, war ein installierter TeamViewer vonnöten. Sie band dann eines von dessen zertifizierten Plugins in sich selbst ein und verfügte dann über die benötigten Rechte. Die Anwendung war schon länger im Play Store verfügbar und bei den Sicherheitsüberprüfungen offenbar nicht aufgefallen. Die Entwickler müssen die Certifi-gate-Schwachstelle außerdem selbst und parallel zu Check Point entdeckt und für ihre Zwecke genutzt haben. Recordable Activator wurde von Google inzwischen aus dem Store entfernt, allerdings zeigt die Sache, dass durchaus auch weniger wohlmeinende Software-Entwickler auf ähnliche Ideen gekommen sein könnten.

Verantwortlich für das Problem ist in diesem Fall nicht vornehmlich Google. Vielmehr geht es um ein letztlich auch etwas unglückliches Zusammenspiel von Fehlentscheidungen bei der Konstruktion einer Sicherheits-Architektur. Das zeigt sich auch daran, dass die Geräte unterschiedlicher Hersteller verschieden stark von dem Problem betroffen sind. CheckPoint bietet seit der Black Hat auch ein Tool an, mit dem Anwender ihr Android-Gerät überprüfen können.