900 Mio. Qualcomm Android-Geräte haben “QuadRooter” Schwachstelle

Android ist sicherheitstechnisch ziemlich kaputt. Vier neue Schwachstellen in Android ermöglichen Angreifern die Kontrolle des gesamten Geräts und den Zugang zu sensiblen persönlichen und geschäftskritischen Daten. Bedroht sind 900 Millionen Geräte. Ergänzung: Die Informationen gingen mir von Proof Point zu – ich habe an einigen Stellen eigene Beobachtungen hinzugeführt. Unter anderem zur QuadRooter-Test-App.

Sicherheitsforscher von Check Point® Software Technologies Ltd stellten auf der Def Con 24 in Las Vega diese vier oben erwähnten Sicherheitslücken vor. In seiner Präsentation auf der Def Con 24, veröffentlichte Check Points leitender Mobile Sicherheitsforscher Adam Donenfeld vier große Schwachstellen, die Android-Geräte mit Qualcomm Chipsets betreffen. Qualcomm ist der Weltmarktführer für LTE Chipsets mit einem Marktanteil von 65 Prozent bei Modem Baseband im Android Ecosystem.

QuadRooter-Sicherheitslücke

Check Point bezeichnet dieses Schwachstellen-Set als QuadRooter. Durch Ausnutzung der Schwachstellen können Angreifer die komplette Kontrolle über das Gerät übernehmen und sich unbegrenzten Zugriff auf persönliche Informationen und Firmendaten erschleichen. Der Zugang erlaubt zudem den Einsatz von Keylogging, GPS Tracking oder das Aufzeichnen von Videos oder Tonmitschnitten.

Qualcomm-Treiber als Ursache

Die Schwachstellen wurden in den Software-Treibern für die Chipsets von Qualcomm gefunden. Ein Eindringling könnte die Schwachstellen durch eine infizierte App ausnutzen. Die App würde keine speziellen Rechte benötigen, um die Schwachstellen zu nutzen, Anwender würde sie daher nicht auffallen. Unter den 900 Mio. sind zahlreiche Top-Seller von führenden Anbietern wie zum Beispiel:

• Samsung Galaxy S7 & S7 Edge
• Sony Xperia Z Ultra
• Google Nexus 5X, 6 & 6P
• HTC One M9 & HTC 10
• LG G4, G5 & V10
• Motorola Moto X
• OnePlus One, 2 & 3
• BlackBerry Priv
• Blackphone 1 & 2

Da die Schwachstellen in den Software-Treibern bereits bei der Herstellung der Geräte vorab installiert sind, können sie nur durch die Installation eines Patches vom Hersteller-Händler oder Netzbetreiber behoben werden. Händler und Netzbetreiber können Patches erst ausführen, sobald sie reparierte Treiber von Qualcomm erhalten haben. Und da dürfte der Hase im Pfeffer liegen – bei den meisten Android-Geräten kannst Du warten, bis Du schwarz wirst.

Kostenlose QuadRooter Scanner App

Check Point hat eine kostenlose QuadRooter Scanner App im Google Play Store bereitgestellt. Die App ermöglicht Android-Nutzern herauszufinden, ob ihr Gerät betroffen ist und führt sie außerdem zu Patches, die heruntergeladen werden können. Alternativ gibt es die App Qualcomm QuadRooter Scanner von Trustlook, die im Gegensatz zum Check Point-Scanner keine speziellen Berechtigungen will. Hier das Ergebnis des Checks auf dem Nexus 4. 

Michael Shaulov, Head of Mobility Product Management bei Check Point, kritisiert: „Schwachstellen wie QuadRooter zeigen uns die einzigartige Herausforderung, Android Geräte und Daten auf den Geräten zu schützen. Die Lieferkette ist komplex, das bedeutet, dass jeder Patch zu jedem einzelnen betroffenen Modell angepasst und getestet werden muss. Dieser Prozess kann Monate dauern und lässt in der Zwischenzeit Geräte verwundbar, darüber hinaus wissen die Anwender nicht, dass ihre Daten gefährdet sind.  Der Prozess wie Android Sicherheitsupdates durchführt, ist defekt und muss repariert werden."

Check Point empfiehlt die folgenden Best-Practices, um das Android Device von Attacken die Schwachstellen ausnutzen wollen, zu schützen:

• Herunterladen und installieren der aktuellsten Android Updates sobald diese verfügbar sind. Das ist in meinen Augen aber eine Luftnummer, wie Michael Shaulov oben selbst ausführt.

• Verinnerlichung über die Auswirkung von Rooting von Geräten– ob bewusst oder aufgrund eines Angriffs

• Vermeiden von Android Apps (.APK files), die von Webseiten heruntergeladen werden können oder das Herunterladen von Apps von dritten Anbietern und Shops. Stattdessen laden nur Apps aus dem Google Play Store herunterladen.

• Genaue Prüfung der Rechtefreigabe bei der Installation von Apps ausführlich und aufmerksam. Man sollte auf keinen Fall Apps zulassen, welche unnötige Rechte anfordern, die ungewöhnlich oder unnötig sind oder aber viel Energie benötigen. Hier zuckt es bei mir, will die Proof Point App doch meine ID lesen, während die von mir getestete App dies nicht verlangt.

• Nur vertrauenswürdige Wi-Fi Netzwerke nutzen – unterwegs in fremder Umgebung sollte man auf den Provider des Netzwerks achten.

• Anwender und Unternehmen sollten sich überlegen, ob sie sich mobile Sicherheitslösungen anschaffen, mit denen ungewöhnliches Verhalten auf den Geräten erkannt wird, darunter auch Malware in installierten Apps.

Check Points Forscher haben Qualcomm alle Informationen über die Schwachstellen bereits im April 2016 übergeben. Das Team folgte dann der Industrie-Standard disclosure policy (CERT/CC policy), dass Qualcomm 90 Tage Zeit gab, um Patches zu produzieren, bevor die Schwachstelle bekannt gemacht wurde. Qualcomm hat alle Schwachstellen analysiert, sie alle als „high risk" also sehr gefährlich eingestuft und hat seitdem Patches an die Original Equipment Manufacturer (OEMs) ausgeliefert.

Mehr Informationen über die Schwachstellen, darunter auch der Link zur Check Point QuadRooter Scanner App sowie ein detaillierter Bericht über die Schwachstellen ist im Check Point Blog erhältlich.