Studie: Von 150.000 Android Apps enthalten mehr als 12.000 eine Hintertür
(Bild: Arthur_Shevtsov/Shutterstock.com)
Aufgrund von verschiedenen Backdoor-Funktionalitäten in vielen Apps könnten Angreifer Android-Geräte mit ernsten Folgen aus der Ferne attackieren.
Akademiker der The Ohio State University und dem CISPA - Helmholtz-Zentrum für Informationssicherheit haben 150.000 Android-Apps auf Hintertüren analysiert und sind teilweise zu haarsträubenden Ergebnissen gekommen. So könnten Angreifer in einigen Fällen mit vergleichsweise wenig Aufwand die volle Kontrolle über Smartphones erlangen.
Betroffene Apps
Die Namen der untersuchten Apps verschweigen die Forscher aus Sicherheitsgründen. Die jeweiligen Anbieter haben sie eigenen Angaben zufolge benachrichtigt.
Die Wissenschaftler geben an, die 100.000 populärsten Apps in Google Play analysiert zu haben. 20.000 Apps stammen aus App Stores von Drittanbietern und 30.000 finden sich vorinstalliert auf Samsung-Geräten. In Googles offiziellen App Store stießen sie auf 6800 Apps mit Backdoor-Funktionen. Bei Samsung-Geräten war das bei 4800 vorinstallierten Apps der Fall.
Undokumentierter Fernzugriff
Von den geprüften Apps [1] weisen den Akademikern zufolge 12.706 Backdoor-Funktionalitäten auf. Für ihre Analysen haben sie das eigens entwickelte Tool InputScope eingesetzt. Damit haben sie unter anderem Eingabefelder der Apps analysiert.
Zum Teil kommt man hier über die Eingabe von bekannten Passwörtern in Debug-Menüs, wo Angreifer gefährliche Sachen anstellen könnten. Die Forscher stießen beispielsweise auf eigentlich geheime Zugangsschlüssel, Master-Passwörter und geheime Kommandos. Die Ergebnisse stufen sie insgesamt als "beunruhigend" ein.
In einer mit 10 Millionen Installationen weit verbreiteten Fernwartungs-App haben sie ein Master-Passwort entdeckt, über das Angreifer Zugriff auf das Gerät bekommen könnten, selbst wenn es der Besitzer eines verloren Gerätes gesperrt hat.
Mit einem speziellen Zugangsschlüssel in einer Screen-Locker-App mit 5 Millionen Installation könnten Angreifer Passwörter von Smartphone-Besitzer zurücksetzen und so das Gerät entsperren. Das sind nur einige ausgewählte Fälle. Weitere Infos findet man in den Ergebnissen der Studie [2]. (des [3])
URL dieses Artikels:
https://www.heise.de/-4698005
Links in diesem Artikel:
[1] https://www.heise.de/thema/Apps
[2] https://panda.moyix.net/~moyix/papers/inputscope_oakland20.pdf
[3] mailto:des@heise.de
Copyright © 2020 Heise Medien