Sicherheitsleck: Samsung-Smartphones aus der Ferne löschbar
Android-Handys von Samsung kann man mit präparierten Webseiten dazu bringen, einen USSD-Code auszuführen und dadurch sämtliche Daten des Nutzers zu löschen. Dies funktioniert nach ersten Tests aber nicht mit allen Modellen und Android-Versionen.
- Ronald Eikenberg
Der Sicherheitsexperte Ravi Borgaonkar hat auf der Hackerkonferenz Ekoparty demonstriert, dass man Android-Smartphones von Samsung, bei denen der Hersteller die Android-Version mit eigener Software angepasst hat, aus der Ferne auf Werkseinstellungen zurücksetzen kann. Kern des Angriffs ist eine Schwachstelle im Samsung-eigenen Wählprogramm, durch die einzelne Smartphone-Varianten ohne Rückfrage sogenannte USSD-Codes (Unstructured Supplementary Service Data) ausführen, die über speziell präparierte Links übergeben werden. Der Code *2767*3855# sorgt dafür, dass das Handy sofort mit dem Zurücksetzen beginnt.
Ein solcher Link kann etwa auf einer Webseite oder einem NFC-Tag lauern. Nach Angaben des Sicherheitsexperten soll man das Aufrufen der URL auch aus der Ferne über WAP-Push-Nachrichten auslösen können. Dies klappt zum Beispiel über SMS-Gateways im Netz.
Bei einem ersten Test von heise Security gelang es nicht, auf einem Samsung Galaxy S3, das noch unter Android 4.0.4 lief, den Code beim Aufruf der von Oliva bereitgestellten Demoseite auszuführen. Es öffnete sich lediglich das Wählprogramm, das kurz den auszulösenden Code anzeigte. Anderen Berichten zufolge (unter anderem von AndroidNext und SmartDroid) soll das Problem unter Android 4.1 ebenfalls nicht reproduzierbar gewesen sein.
Mit einem Samsung Galaxy S2 mit Android 2.3.6 konnte heise Security dagegen das Sicherheitsleck problemlos nachvollziehen: Der Code wurde durch Aufrufen der URL ausgeführt und ein Zurücksetzen ausgelöst. Laut Nicola von Thadden ließ sich dies auch mit einem Samsung Galaxy S2 mit Android 4.0.3 reproduzieren.
Das manuelle Eintippen des Codes führt natürlich bei jedem der Samsung-Geräte sehr wohl zum Start des Löschvorgangs.
Update vom 25.09.2012, 16 Uhr: Die Demonstration wurde von Ravi Borgaonkar durchgeführt, nicht von Pau Oliva. Die Angabe im Artikel wurde korrigiert. (rei)
