Heimliche Installation bei der Hälfte aller Android-Phones möglich
Durch einen Trick könnte eine bereits installierte App einen bösartigen Trojaner auf Android-Geräten platzieren – ohne dass der Anwender das bemerkt oder ihr irgendwelche Rechte einräumen müsste.
![Apps](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/4/5/4/9/7/5/Unbenannt-5-d3cbd08986b5b55a.jpeg)
"Was Sie checken, ist nicht unbedingt das, was Sie dann auch installieren" – so lässt sich die Lücke zusammenfassen, die laut Palo Alto rund 50 Prozent aller Android-User betrifft. Wenn man eine Android-App aus dem App-Store eines Dritt-Anbieters installiert, zeigen einem die Installations-Routinen von Android eine Beschreibung der App und die von ihr angeforderten Rechte an. Tauscht währenddessen eine bereits installierte, böswillige App – die aber aus einem normalen App-Store stammen kann – im Hintergrund das Installer-Paket gegen ein anderes aus, installiert Android beim Tap auf "Installieren" allerdings ohne weitere Nachfragen die untergeschobene App mit allen Rechten, die diese anfordert.
Der Trick funktioniert nur mit Apps, die aus Dritt-Anbieter-Quellen oder direkten Downloads installiert werden, da diese ungeschützt auf dem Gerät liegen. Apps aus dem Google Play Store landen in einem speziell geschützten Speicherbereich, auf den andere Apps keinen Zugriff haben. In Android 4.3 hat Google einen zusätzlichen Test eingebaut, der das Installationspaket zum Zeitpunkt der Installation nochmal überprüft. Ein zwischenzeitliches Ersetzen des Pakets wird dadurch verhindert.
Laut dem Android-Dashboard betreiben rund die Hälfte aller Android-Nutzer ihre Geräte noch mit Versionen bis maximal 4.2. Darüber hinaus hat Palo Alto auch einige Geräte mit Android 4.3 entdeckt, die den Test offenbar doch nicht enthalten. So erwies sich in konkreten Tests ein Samsung Galaxy S4 trotz Android 4.3 noch als anfällig. Ab Version 4.4 gelang es jedoch nicht mehr, das Problem auszunutzen.
Wer sich also vor solchen heimlichen Installationen schützen möchte, sollte sein Gerät sofern möglich mindestens auf Android 4.3, besser sogar 4.4 aufrüsten. Wer an eine ältere Android-Version gebunden ist, sollte die Option zur "Installation aus nicht vertrauenswürdigen Quellen" abschalten und sich auf die Installation von Apps aus dem Google Play Store beschränken. Damit geht man auch vielen der anderen Gefahren, die Android-Geräten drohen elegant – also ohne zusätzlichen Virenschutz – aus dem Weg.
Palo Alto hatte das Problem nach eigenen Angaben bereits im Januar 2014 entdeckt und kurz darauf Google gemeldet. Der daraufhin im März vergangenen Jahres entwickelte Android-Patch wies auch weitere interessierte Parteien deutlich auf dieses Sicherheitsproblem hin. Warum Palo Alto diese Sicherheitslücke erst jetzt – also über ein Jahr später – einer breiteren Öffentlichkeit bekannt macht, erklärt das Unternehmen nicht. (ju)