[English]An dieser Stelle ein schnelles Update für alle Betroffenen des Malware-Befalls von Gigaset Android-Geräten. Ich hatte gerade ein telefonisches Gespräch mit Gigaset, wo sich langsam der Nebel lichtet.
Anzeige
Der Malwareangriff auf Gigaset Android-Geräte
Seit ca. Gründonnerstag (1. April 2021) gab es ein massives Problem mit Gigaset Android-Geräten, denn zahlreiche Benutzer melden seit der Karwoche (erste Meldungen, die ich gesehen habe, stammen vom 1. April 2021, weitere Meldungen kamen am 2., 3., 4. April 2021 rein) einen Befall der Gerät durch Malware. Es werden automatisch unerwünschte Apps installiert, die ihr Eigenleben auf den Smartphones führen. Die Folgen sind für die Gerätebesitzer gravierend:
- Browserfenster öffnen sich urplötzlich mit Werbung oder leiten zu Glücksspielseiten um
- WhatsApp-Konten werden (wegen kritischer Aktivitäten) gesperrt
- Facebook-Konten werden ggf. komplett übernommen
- Möglicherweise werden SMS-Nachrichten automatisch verschickt
- Das Gerät geht in den „Nicht stören"-Modus
- Das Akku wird schnell leergesaugt
- Das Smartphone wird langsam
Erste Hinweise von betroffenen Benutzern deuten darauf hin, dass auch Daten von den Smartphones abgegriffen worden sein könnten. Ich hatte über diesen Sachverhalt ausgiebig im Blog-Beitrag Gigaset Android-Update-Server liefern vermutlich Malware aus berichtet. Ein ergänzender Sachstand findet sich im Blog-Beitrag Neues zum Gigaset Android-Smartphone Malware-Befall (April 2021). Im Blog-Beitrag Malwareangriff: Was Gigaset Android-Gerätebesitzer jetzt machen sollten hatte ich die Stilllegung der Geräte bis zur Klärung durch den Hersteller empfohlen.
Zwischenstand nach Angaben des Herstellers
Am 6.4.2021 hatte ich gegen 16:36 Uhr einen Anruf aus der Qualitätssicherung des Herstellers Gigaset, in dem mir erste Informationen mitgeteilt wurden. Aktuell ist der folgende Sachstand, nach Untersuchungen des Herstellers weitgehend gesichert.
- Es ist nur ein Teil der Geräte vom Malware-Befall betroffen – (Geräte, die über einen bestimmten Update-Server beliefert werden).
- Es war ein Update-Server, der von Gigaset-Geräten zur Aktualisierung benutzt wird, kompromittiert, so dass die betreffenden Geräte durch Malware befallen wurden.
- Dieser Kompromittierung des Update-Servers ist nach aktuellem Kenntnisstand wohl behoben, so das keine Malware mehr neu installiert wird.
Gerätebesitzer, deren Smartphones bisher nicht betroffen waren, können diese wohl – so die erste vorsichtige Einschätzung – wieder benutzen. Es deutet sich auch an, dass der Hersteller demnächst per Update betroffene Geräte säubern kann. Hier bleibe ich noch im ungefähren, da ich die Zusage von Gigaset habe, dass ich im Laufe des 7.4.2021 mit schriftlichen Details versorgt werden – die sollen kommen, wenn Untersuchungen abgeschlossen sind. Ich denke, das muss man zugestehen – und das aktuell im Wartungsmodus befindliche Gigaset Forum ist wegen eines Relaunchs bereits länger (WayBack sagt mir seit 2017) im Wartungsmodus.
Anzeige
Es gibt auch noch diese Mitteilung von Gigaset, die ich unkommentiert hier im Blog einstelle – beachtet die Angabe, welche Smartphones nicht betroffen sein sollen. Wenn mir mehr (belastbare) Informationen vorliegen, veröffentliche ich die – und wenn es gut läuft, mit einer prinzipiellen Hintergrundanalyse (Fragen gibt es, dank meiner super Blog-Leserschaft, ja inzwischen zur Genüge).
Im Rahmen von routinemäßigen Kontrollanalysen ist uns aufgefallen, dass bei einigen älteren Smartphones Probleme mit Schadsoftware aufgetreten sind. Diese Erkenntnis wurde auch durch Anfragen von einzelnen Kunden bestätigt.
Wir nehmen das Thema sehr ernst und arbeiten intensiv an einer kurzfristigen Lösung für die betroffenen Nutzer.
Dabei arbeiten wir eng mit IT-Forensikern und den zuständigen Behörden zusammen. Wir werden die betroffenen Nutzer schnellstmöglich informieren und Informationen zur Lösung des Problems bereitstellen.
Wir gehen davon aus, dass wir binnen 48 Stunden weitere Erkenntnisse, bzw. eine Lösung des Sachverhalts anbieten können.
Wichtig ist an dieser Stelle auch zu erwähnen, dass nach aktuellem Kenntnisstand der Vorfall nur ältere Geräte betrifft.
Wir gehen derzeit davon aus, dass die Geräte GS110, GS185, GS190, GS195, GS195LS, GS280, GS290, GX290, GX290 plus, GX290 PRO, GS3 und GS4 nicht betroffen sind.
Beachtet aber die Formulierung "man geht davon aus" im letzten Satz – es gibt also keine Sicherheit. Dies auch im Hinterkopf behalten, falls wer nicht betroffene Geräte wieder in Betrieb nehmen möchte (ich denke speziell an das Firmenumfeld, wo das Thema DSGVO relevant ist).
Update-App das Problem
Ergänzung: Bei The Hacker News ist noch der Artikel Pre-Installed Malware Dropper Found On German Gigaset Android Phones erschienen, wo letztendlich einige Analysen, die hier von Blog-Lesern in den Kommentaren zu den Artikeln veröffentlicht wurden, von Malwarebytes-Forscher Nathan Collier bestätigt wurden (ich hatte Malwarebytes per Twitter auf den Sachverhalt hingeweisen, aber nichts mehr gehört). Zitat von Collier:
Der Übeltäter, der diese Malware-Apps installiert, ist die Update-App mit dem Paketnamen com.redstone.ota.ui, die eine vorinstallierte System-App ist. Diese App ist nicht nur der System-Updater des Mobilgeräts, sondern auch ein Auto-Installer, bekannt als Android/PUP.Riskware.Autoins.Redstone.
Und das ist letztendlich das Problem, was Gigaset nun quasi das "Genick gebrochen" hat. Mehr folgt, wenn ich von Gigaset belastbare Informationen habe.
Ergänzung: Ich habe jetzt eine erste vorläufige Zusammenfassung einer technischen Analyse der Sicherheitsforscher von Malwarebytes im Blog-Beitrag Vorläufige Analyse des Gigaset Malware-Angriffs durch Auto-Installer in der Firmware veröffentlicht.
Artikelreihe
Gigaset Android-Update-Server liefern vermutlich Malware aus
Neues zum Gigaset Android-Smartphone Malware-Befall (April 2021)
Malwareangriff: Was Gigaset Android-Gerätebesitzer jetzt machen sollten
Update zum Malware-Befall bei Gigaset Android-Geräten (6.4.2021)
Vorläufige Analyse des Gigaset Malware-Angriffs durch Auto-Installer in der Firmware
Kurzinfo: Gigaset-Pressemitteilung zum Malware-Befall der Android-Geräte (8.4.2021)
Malwarebefall von Gigaset Android-Geräten: Analysen und Handlungsoptionen (8.4.2021) – Teil 1
Malwarebefall von Gigaset Android-Geräten: Analysen und Handlungsoptionen (8.4.2021) – Teil 2
Gigaset: Hürden beim Bereinigen des Malwarebefalls (12. April 2021)
Gigaset-Malwarebefall und das WhatsApp/SIM-Problem
Anzeige
Zitat:
"Gründonnerstag (2. April 2021)"
Korrekturvorschlag:
Gründonnerstag (1.April 2021)
Zitat:
"das sich im Laufe des 7.4.2021"
Korrekturvorschlag:
"dass ich im Laufe des 7.4.2021"
Gigaset und auch alle anderen Smartphone-Hersteller sollten mal ganz dringend diesen Adups-Updater von sämtlichen Geräten verbannen.
Der hat Backdoors, gilt als Malware und er erlaubt den Chinesen, sämtliche Smartphones auf Knopfdruck stillzulegen oder in ein Botnetz umzuwandeln.
Im Grunde ist es eine Waffe für einen Cyberkrieg.
Unverantwortlich sowas, denn sowas kann wirklich gefährlich werden, wenn so eine Aktion auf sämtlichen Handys gleichzeitig passiert.
Vielleicht hat man das kleine Gigaset auch als Proof-of-Concept auserkoren, um die Cyberwaffe zu testen oder als Show-of-Force zur Abschreckung gegen Aktionen der westlichen Mächte, die ja gerade jetzt im Zuge des Manövers "Defender 21" Russland auf die Pelle rücken und recht ordentliche Feuerkraft um die Ukraine auffahren.
Das BSI sollte auch mal aufwachen und die Empfehlung bzw den Befehl ausgeben, Adups zur illegalen App zu erklären und aus Europa zu verbannen.
Da Gigaset anscheinend fest in chinesischer Hand ist, werden die natürlich weiterhin mit Adups zusammenarbeiten und sich nicht darum scheren, was ein paar Benutzer weltweit darüber denken.
Die zentrale Bedeutung von Adups für eine riesengroße Menge an Mobiltelefonen ist extrem bedenklich, hat aber nur am Rande mit den hier dokumentierten Fällen zu tun. Soweit ich das beurteilen kann, gibt es auf meinem Gerät keinen Adups-Updater und trotzdem ist es befallen.
Auch bezweifle ich, dass das BSI Befehle erteilen oder Apps für illegal erklären kann. Was, bitte, ist eine illegale App?
Kurz gesagt: Jeden Hersteller meiden der keine eigenen Update-Server betreibt.
"Update-Server […] kompromittiert"
Aber wodurch, durch wen?
Wie sieht ein Test aus, um herauszufinden, ob man betroffen ist?
Selbst ein sauberer Update-Server ändert am zugrundeliegenden Problem des fernsteuerbaren Adups-Updaters nichts.
Gigaset hat anscheinend auch keinen Einfluss darauf, welche Handys welche Server benutzen.
Gigaset benutzt auch keine Checksummen oder Hashes, um die Integrität der Updates bzw der Serverinhalte sicherzustellen.
Da kann offensichtlich irgendein Hansel irgendwelche Apps in die Ordner der Server kopieren und das wird dann alles völlig ungeprüft in die ganze Welt verteilt.
Die Voreinstellungen der Gigaset-Smartphones ist auch noch "automatischer Update für System-Apps" und "install on reboot".
Sowas ist doch der reinste Horror, schlimmer als Windows 10.
Gigaset hat also die UpdateServer nicht in griff und da das schon der zweite Vorfall nach 2019 ist habe ich entschlossen keine Geräte mehr von dieser Marke zu verwenden.
Auch in der Firma wo ich arbeite werden keine mehr eingesetzt (waren 62 Geräte)
Klar kann es jeden treffen aber die extrem lange Reaktionszeit ist ein NoGo
Nun ja, wenn man vom Regen in die Traufe kommt – mal schauen, ob ich einen Artikel zu Adups gebacken bekomme. Und ob man Apple als Allheilmittel ansehen soll – ich weiß nicht.
Apple ist auch nicht so sicher, wie die immer behaupten.
Da konnte man die Geräte mit einem indischen Unicode abschießen, die bloße Annahme eines Videoanrufes reichte aus zur Komprommitierung und "unmögliche" Jailbrakes zum Rooten gibt es ebenso.
Das kann kein Hersteller zu 100% behaupten. Die Frage ist halt, wie wird mit Problemen umgegangen.
Nicht nur für "BOLKO" auch für Herrn Born, den ich letzend alsComp-Laie, aber des Lesens Kundige, zum Zhema GIGA angesprochen hatte! Hi.. .dazu braucht man keinen "Indischen Krimskram"
Da reicht schon Google… Es sieht jedenfalls do aus! mein Mac-Book hat durch die GS280er Anschafung seltsame "Blüten" getrieben… bei der Einrichtung des 280 wurde von Google Sync verlangt -es ließ sich nicht abwählen.. man könne es anschließend über's G-Konto jederzeit ändern..und schon war G auf dem Apple.. Syncronisiert wurden keine Tab und sonst auch nichts Nützliches.. Bei diesem "angeblichen" Sync wurden aber auf allenGeräten…GS 280 und auch Alt+Handys ohne SiM aber wohl noch mit Restladung .. und win-10-Desktop-Comp.(schon seit 2018 nicht mehr im Netz gewesen), die Browser (Firefox und Safari) "zerschossen" >>> da wurde hinterrücks der Firefox zum Chrome gemacht, aber die Startseite war noch FF..Aber imHintergrund wurden alle Add außer Kraft gesetzt .Bis cs.Ende Mai21 kam ich aber noch mit dirsem Fake-FF. Gestern hatte ich was neues entdeckt Safari hatte keine Startseite mehr… Dafür gab's eine mit Edit erstellte Seite , womit ich " beantragen" sollte was ich im Netz suchen will… und ich sollte einen User-Agenten-Sring zu dieser Seite eingeben, der sogar eine falsches Betriebssystem-Versionns-Angabe enthielt (10.13 anstatt10.6)…hört sich nicht lustig an.. und nicht nachApple… anschließend fand ich nach langem Suchen heraus, dass" angeblich" Google den Chrome-Browser als ausschließlichen Browser instslliert hat und außerdem die Root verändert hat..slso warscheinlich auch Router betroffen!… ln den anfänglichen Forum-Diskusdionen äußerte auch jenand Zweifel am Safe-Zustand der com.android.cts.priv.ctsshim… das ist einTeil einer freien Test-suite ..u.a. für Comppatibilität betr. Android das o.g schaft eine Art "SuperUser' mit Privilegien – er wird dann user=0 und kann im System Änerungen vornehmen (Neues /Sperren/Löschen u.a.) mittels js. so wurde sowohl auf Apple als auch Handy die Internetverbindung "zum Stottern" gebracht .. der Roiter muß ja dann dazu Anweisung bekommen haben … Suf dem Handy war es so! – der Benachrichtigungston piepte dauernd -den Appel hatte ich nicht mit dem Router/weder LAN noch WLAN gebracht! Anschließend habich mich beim Google-Support per Handy-Mail beschwert…(denke: da war auch der "Alias-Google" in Gange… Denn anschließend waren alle OTA-Datein weg…und Internetverbindung mit meinem dort installierten Firefox und Startpage war nicht mehr nutzbar.. Der "Witz" von heute ist: ich hab Suche über DuckDuck versucht…da ging erst nichts.. dann hatte ich als Sucheingabe "Liebes Google" eingegeben… UND..
So bin hier…>>> seltsam!!!! Das was die meisten Betroffenen GIGA-Nutzer beklagen (Werbung) zrifft bei mir nicht zu.. sehr streng eingestellt half bisher auck keine Spiele drauf.. Surfen war meist zu rechtlichen Themen und Definitionen… Man hatte zwar, als ich noch mit Google suchte, mal sls Robotter verdächtigt, und eingeblendet, dass ich keine Berechtigung hätte EuGH-Urtele zu lesen… aber das war bei "Startpage" nicht mehr… Zurück zum Thema : ob es nun "wirklich" Google war ..kann ich nicht einschätzen…bin kein Forensiker… Bb ABER.. da z.B. Chrome auch mit KI arbeitet… Entscheidet dieser "lohnfreie Mitarbeiter" über Wohl und Wehe und dafür ist Der "Gockel" letztlich doch verantwortlich… Nur wer zahlt mir den Schaden… Wer ist in der Lage das Handy und den Apple wieder auf SAFE zu bringen? Was ist mit meinem Banking? Zum Glück ist davon nix auf Handy und Apple installiert
Aber: seltsam, das bei einer der letzten Sucheingaben, völlig unpassend zum Surf-Thema, mein Finanzdienstleister auftauchte…, der leider nicht gleich um die Ecke ansässig ist.
. In Zukunft will wohl Google(wenn sie'sind) mit Windows dass , man sich mit seinem Comp. nochmals bei Win identifizieren muss..wenn man zu lange offline war… offline kommt man an nix mehr dran… Da wird man vor seinen eigenen "Geistes-Produkten" geschützt…. Da ist dann die Sammelwut auf dem Höhepunkt… duchgängig im Internet als Pflicht damit das Ding bei Bedarf geweckt werden kann – das funktioniert doch schon längst.. und momentan ist das durch Debug in Gang gebracht worden…über User 0 und dieses verrückte "Smart" o.v. mit der o.g. cts..priv…him.
q.r.d…. und "Gute Nacht Deutschland" wenn dagegen keiner was tut…DAS müsste den Datenschutzbeauftragten doch eigentlich wütend machen! aber als Normal-Bürger bekommt man da bestimmt keinen promten Termin. was soll ich tun?
soeben wurde behauptet ( mit einer Einblendung) ich hätte diesen Text schon eimal abgeschickt…was aber micht stimmt.. es ist eine Fortsetzung die völlig anders anfängt und endet…was haben da die Algorhytmen gelesen und eingeschätzt? Oder hängt hier auch der o.g.Blocker drin?
Herzlichen Dank,
Es ist sicher gut zuzugestehen, daß es der Zeit für Gigaset bedarf.
Allerdings ist auf meine Mail hin bisher nur die maschinelle Bestätigung eingetroffen.Immerhin! Auch hier wäre mehr Kommunokation wünschenswert.
Es bleibt zu vermuten das ohne Günter Borns Blog die Situation ziemlich mickrig wäre.
Daher nochmals: Danke, bleib am Ball.
Hallo,
das kann ich nur bestätigen, ich denke nicht, dass es Gigaset für nötig halten würde auf einzelne User zu reagieren und auch ich warte noch auf die Mail von Gigaset die mir eigentlich zugesagt wurde. An der Antwort ist wohl deutlich zu erkennen wie man das Ganze runterspielt, kein Wort der Entschuldigung oder gar des Bedauerns das vermutl. pers. Daten abgegriffen wurden. Habe mein Online-Banking gesperrt und warte auf das Ende des Dilemmas. Denke nicht, dass es in irgendeiner Weise eine Entschädigung für die verlorene Zeit und die Aufregung geben wird.
Warum gibt es überhaupt gleich mehrere Updater gleichzeitig?
1.
Adups-Over-The-Air-Updater:
com.adups.fota
2.
Redstone-Over-The-Air-Updater:
com.redstone.ota.ui
3.
ThirdPartyRSOTA.apk
("RS" = RedStone? = com.redstone.ota.ui ?)
4.
update.apk
Welche davon ist denn die originale und vorgesehene korrekte Variante und welche Version, welche Dateigröße, welche Checksummen und welche können davon weg, soll man deinstallieren oder nur deaktivieren?
5.
"Agent.CHI" klingt so wie ein Staatstrojaner aus China zur Online-Überwachung-Durchsuchung. Eventuell auch mit Upload-Download-Install-Funktion.
Diese Updater können sich auch gegenseitig überwachen.
Wenn der User dann einen davon zewrstört, dann merkt das der andere Updater und installiert neu, was fehlt.
Solche Updater-Teams sind dann immer schneller als jeder User.
Das ist etwa so wie mit den AMD-Grafiktreibern, die auch als Paart im Speicher sitzen und falls der Treiber abstürzt,dann holt ihn der andere Service zurück ins RAM und startet diesen neu.
Man sieht dann einen kurzen Blackscreen, aber es läuft weiter.
@Bolko: Wichtige Fragen – ich würde dem gerne nachgehen. Vielleicht ergibt sich über den jetzigen Vorfall und der hoffentlich morgen per Mail stattfindende Kontakt mit Gigaset die Möglichkeit, dass ich da detaillierter nachhaken kann. Wenn sich was ergibt, würde ich gerne einen Austausch außerhalb des Blogs mit dir und Volko versuchen, so dass ggf. einige Sachen evaluiert werden können.
Ich sitze hier ja zwischen den Stühlen: Blogge ich, fehlt mir die Zeit zur Feldforschung. Forsche ich im Feld, fehlt mir die Zeit zum Bloggen. Vielleicht sollte ich wirklich der Rentenversicherung Bund in den Hintern treten, dass die endlich den Rentenbescheid (2 Monate verspätet) schicken und dann spazieren gehen – wäre ein deutlich friedlicher Unruhestand – mir aber vermutlich zu langweilig ;-).
Meine Fragen gingen gar nicht unbedingt an dich, sondern generell an jeden, der hier mitliest, zum Beispiel wird Gigaset ja auch hier mitlesen und könnte selber hier im Blog auch mal etwas dazu schreiben.
.
Vielleicht weiß ja irgend jemand irgend etwas dazu, müssen ja keine vollständigen perfekten Antworten sein.
Am besten macht man in Zukunft bei jedem Fabrikneuen Handy erstmal mit adb eine Auflistung der vorhandenen App-Pakete und speichert sich diese Liste ab, damit man später dann vergleichen kann (diff), was ausgetauscht wurde oder hinzu gekommen ist.
Eigentlich sollte auch jeder Hersteller mal eine solche Referenzliste der App-Pakete zur Verfügung stellen.
Ich selber habe gar kein Gigaset, kann also gar nicht selber testen, sonst wären wir schon weiter.
Wer sind eigentlich Bolko und Volko? Schreib das mal kyrillisch auf ;)
Habe mir eben mal die App-Listen von einem der bei uns betroffenen GS180 und einem der nicht betroffenen GS180 per ADB gezogen; auf beiden Geräten wurde die "Update-App" am Karfreitag mit ADB deaktiviert und ein erneuter bzw. erstmaliger Befall mit Schadsoftware hat nicht stattgefunden:
auf beiden GS180 ist die "Update-App" [package:/system/app/Rsota/Rsota.apk=com.redstone.ota.ui] in der Version 6.2.8 installiert und hat eine Größe von 8,85MB; nach Löschen des Cache und der Nutzerdaten belegen auf beiden GS180 der Cache jeweils 0KB und die Nutzerdaten jeweils 10,75KB.
Betreffend die Suchbegriffe "adups" und "fota" sind beide App-Listen sauber und auch sonst konnte ich keine Auffälligkeiten feststellen.
P.S. Kommentatoren-Namens-Ähnlichkeiten sind tatsächlich rein zufällig und nicht beabsichtigt :D
Gigaset hatte aber selber bestätigt, dass sie Adups benutzen:
h**ps://www.computerbase.de/forum/threads/malware-angriff-gigaset-smartphones-mit-schadsoftware-infiziert.2015549/page-3#post-25499407
Wurde Adups durch RedStone auf allen Gigasets ersetzt oder nur bei bestimmten Modellen und ist die RedStone ein umbenannter Adups oder sitzt die Adups unter einem anderen Namen in einem der anderen Pakete drin?
Ein anderer User in einem der inzwischen 5 Stränge hatte aber auch die Adups in seiner App-Liste gefunden.
Wird Adups also auf manchen Modellen nur vom RedStone-Updater nachgeladen, während Adups auf anderen Modellen (mindestens GS3 und GS4) vorinstalliert ist?
Gewünscht ist also eine Liste von allen Gigaset-Modellen, welche OTA-Updater dort vorinstalliert sind, mit App-Name (was der User zu sehen bekommt) und Paket-Name (adb).
Ich kann leider nur hinsichtlich des GS180 entsprechende Antworten liefern, sofern dieses ohne "Root" möglich ist.
Auffällig war jedoch, dass auf dem GS180 bei laufender Update-App über die Anzeige der aktiven Apps in den Entwickleroptionen (vor der Deaktivierung mittel ADB) noch zwei weitere Nebenprozesse zusammen mit der Update-App ausgeführt wurden, deren Namen ich mir aber leider nicht gemerkt habe …
Lieber Herr Born,
vielen Dank für Ihr Engagement.
Auch mein GS370 ist betroffen. Gerade habe ich erneut den Auslieferungszustand wiederhergestellt, jedoch hat Kaspersky wieder die Malware "smart" erkannt. Eine Behebung des Malware-Problems kann ich insofern nicht erkennen.
Nach Tagen der Inaktivität von Gigaset habe ich, da ich dergleichen sowieso geplant habe, mir kurzer Hand ein Smartphone von Samsung bestellt.
Beste Grüße
Warte bis morgen ab – eigentlich sollte keine neue Malware mehr aufgespielt werden.
"…..im Laufe des 7.4.2021 mit schriftlichen Details versorgt werden….."
Hoffentlich auch was die unterschiedliche Schädlinge auf unsere geräte und mit unsere daten getan haben !
Nochmal zu Adups Firmware Over The Air (FOTA) Updater
Adups Apps:
com.adups.fota
com.adups.fota.sysoper
com.adups.fota.MyApplication
Adup UpgradeSys
AdupsFota.apk
FWUpgradeProvider.apk.
package:/system/app/AdupsFotaReboot/AdupsFotaReboot.apk=com.adups.fota.sysoper
package:/system/app/AdupsFota/AdupsFota.apk=com.adups.fota
Test im Dateisystem, ob Adups vorhanden ist:
Android/data/com.adups.fota
Adups-Server:
bigdata.adups.com
bigdata.adsunflower.com
bigdata.adfuture.cn
bigdata.advmob.cn
@Bolko:
Die unten bei dir angegebenen Domains sind übrigens alle in einer der üblichen Blacklists von Pi-hole, wobei ich nicht weiß, welche negativen Kriterien zur Aufnahme in dieser Liste geführt haben.
Lieber Herr Born. Vielen Dank für Ihren Einsatz!
Ich habe unterdessen WhatsApp wieder entsperrt und auf einem anderen Handy (das GS170 ist ohne Akku ausgeschaltet) zwei Nachrichten von mir unbekannten südamerikanischen Nummern bekommen. Ich frage mich, ob meine Daten irgendwohin abgeflossen sind. Ich erwarte da von gigaset Aufklärung um weiteren Schaden zu vermeiden.
Gigaset wird da imho keine Aufklärung liefern können – mit viel Glück könnte der Dienstleister das, wenn die zufällig die Apps, die ausgeliefert wurden, gefangen haben.
Aber: Jeder Betroffene sollte sich schlicht im Klaren sein, dass seine Daten abgeflossen und das Gerät kompromittiert ist. Es reicht ja, wenn eine WhatsApp-Nachricht an fremde Nutzer geschickt wurde, damit die Telefonnummer bekannt ist. Man sollte sich also auf vermehrtes Phishing etc. einstellen.
Für Nutzer im Firmenumfeld weise ich vorsorglich darauf hin, dass diese Kompromittierung wahrscheinlich einen meldepflichtigen Datenschutzvorfall nach sich zieht, der binnen 72 Stunden den Datenschutzaufsichtsbehörden anzuzeigen ist.
PS: Zu WhatsApp enthalte ich mich an dieser Stelle jeglichen Kommentars. Ich hatten andernorts darauf hingewiesen, dass man WhatsApp im Firmenumfeld aus Datenschutzgründen (DSGVO) entfernen muss und nicht einsetzen darf.
"südamerikanisch"
= Brasilianerin mit Schrubber im Bild, die fragt, ob du eine Putzfrau anheuern möchtest?
Der eine sah eher aus wie ein mexikanischer Fernfahrer und die andere Numme hab ich unbesehen blockiert…
wenn ich beschuldigt werden wuerde, waere das eine sinnige ausfluechte strategie zu behaupten dass sei mir auch gerade aufgefallen…..
duh. verkaufen die die oeffentlichkeit wirklich fuer so bloede? oder sind gigaset android nutzer wirklich der adressat dieser laecherlichen schutzbehauptung?
—-
Im Rahmen von routinemäßigen Kontrollanalysen ist uns aufgefallen, dass bei einigen älteren Smartphones Probleme mit Schadsoftware aufgetreten sind. Diese Erkenntnis wurde auch durch Anfragen von einzelnen Kunden bestätigt.
—–
Der Akku ist vermutlich wegen des "idle.miner.*" so schnell leer
Der berechnet Bitcoins oder sonstwelche elektronische Währung (miner) in den Zeiten, wo die CPU normalerweise nichts zu tun hat (idle), also läuft die CPU immer auf Hochlast und saugt den Akku leer.
Ich habe drei GX290 im Einsatz und die haben die letzten Tage eine neue Firmware bekommen:
Gigaste_GX290_10.0_V17_20210303
Die scheinen bis dahin nicht betroffen zu sein.
Hoffe, es hat da keinen "Schläfer" drin.
Na dann werde ich mein Gigaset GS 100 wohl erstmal nicht mehr mit dem Internet verbinden (Ist Standart mäßig bei mir aus, wenn ich kein Internet nutze), und abwarten bis Gigaset das Problem gelöst hat. Mit meinem GS 100 hat es mich noch nicht erwischt, da es die letzten 2 Monate nicht Online war (Nutze Mobiles Internet nur selten).
Ich habe mein Gigaset von gestern auf heute (7. April) ausgestellt, um das Update abzuwarten. Beim heutigen Einschalten hatten sich 4 neue Anwendungen installiert und sowohl Malwarebytes und Kapersky wurden deaktiviert. Ansonstennach wie vor das gleiche Bild, wie auch schon von anderen Usern beschrieben.
Irgendwas kann doch nicht stimmen… auf meinem Testgerät installiert sich immer noch diverse Malware.
War das Testgerät vorher sauber?
Nur mal zur Info: Es sind diverse Gigaset-Modelle betroffen. Vorgehensweise, die ich wählen würde:
1. Schauen, dass der kompromittierte Server für forensiche Untersuchungen gesichert und dann abgeschaltet oder gesäubert weiter betrieben wird.
2. Schauen, was genau auf den Geräten passiert und versuchen, einen Patch zu bauen, der die Infektion beseitigt, ein neues Image als System-Update lädt/installiert und auch die diversen Partitionen leert, um das Gerät auf Werksauslieferungszustand zurückzusetzen.
Bei 2. gibt es zwei Probleme: Viele Nutzer wären angepisst, wenn das Gerät auf Werksauslieferungszustand zurück geht. Kann sein, dass Gigaset mit seinem Dienstleistern, die die Firmware bereitstellen, nur eine Lösung zur Immunisierung der Geräte probiert. Dann hieße das aber: Ich teste erst mal an einem Modell – befallen sind aber einige Modelle. Das heißt im Klartext: Eine schnelle Lösung binnen 24 Stunden sehe ich noch nicht – wenn es wirklich eine foolproof und sichere Lösung geben kann. Das sind aber alles Spekulationen meinerseits – ich habe keine Info, wie Gigaset & Co. vorgehen.
Auf jeden Fall sind alle Nicht-IT-Freaks wie ich suuuuper dankbar für Ihre ganze Unterstützung!! Seit Sonntagabend ist mein GS 180 in Quarantäne und ich dadurch gleich mit – von der Außenwelt abgeschnitten ohne google maps und QR Code Scanner. Notebook mit E-Mail geht noch. Aber wer hat schon heuzutage noch Mail-Adressen von seinen Freunden?! Schaue hier täglich rein und bin sehr dankbar für den Beistand.
Aus dem Computerbase Forum von heute Morgen:
"Auch ich habe seit geraumer Zeit massive Probleme mit meinem Gigaset GS170.
…. habe ich bei der Kundenhotline von Gigaset angerufen . Der sehr freundliche Herr meinte das da nix mehr zu machen ist und ich das Gerät entsorgen könne ,. Gleichzeitig bekam ich einen Rabattcode damit ich mir etwas neues bestellen kann . Immerhin 15%. Gleichzeitig habe ich mich mit meinem Mobilfunkanbieter besprochen , der mir aus Schicherheitsgründen eine neue Simkarte zu ordern ."
Hallo Herr Born,
Zur Aktualisierung Ihrer im Blog stehenden Liste: das GS280 ist auch betroffen !
bei diesem Gerät aber finde ich keine update.apk
sondern stattdessen die
com.adups.fota
com.adups.fota.sysoper
und weitere….
von denen eine unter "Einstellungen" als "Systemaktualisierung"-App angezeigt wird.
Die Systemaktualisierung kann auf dem Gerät in Einstellungen nicht deaktiviert werden (nur: täglich oder wöchentlich)
Interessant: in der App liste inkl System apps, wird 2x Systemaktualisierung angezeigt, mit unterschiedlichen Icons.
D.h. Ich gehe davon aus, dass mein GS280 inzwischen seine updates garnicht mehr von den Gigaset Servern bezieht, sondern von einem Malware Server !!
Daher wird Gigaset wohl kaum einen update rausbringen können, der automatisch auf meinem GS280 aufräumt. Wie sollte der dahinkommen ??
Ich rechne also damit, dass Ich mein Gerät an Gigaset einschicken muß für den Firmware update. Oder ??
Vielen Dank für eine Kommentierung….
Vermutlich hat die Infizierung über die update server schon ab dem 23.12.2020 begonnen ; die Datenaktivitäten einiger suspekten System Apps im Zeitraum 23.12.-31.12.2020 deuten darauf hin. Mehr System App Malware ist dann wohl erst in den letzten 2 Wochen nachgeladen worden, wo auch mein GS280 auffälliges Verhalten zeigte (spontane reboots; silent mode; schnelles entladen, langsames laden)
Hallo Herrn Born,
Erst möchte ich mir bei ihnen danken für ihre Gigaset-Malware-beitrage. Wirklich eine erstaunlich gute hilfe !!!
Laut Gigaset soll meine GS270Plus betroffen sein, aber mein gerät ist es nicht. Und diese GS270Plus ist immer online gewesen ! Meine GS170 ist betroffen aber selten online.
Aber wie schon eher gemeldet, hat meine GS270Plus ein service „Updater v5.4.1" und nicht
„Upgrade v6.2.3" wie meine GS170 (andere namen und andere version)
Ich vermüde das es etwas damit zu tun hat das diese Upgrade in meine GS270Plus nie ausgeführt wurde : https://gse.gigaset.com/fileadmin/gigaset/images/CustomerCare/Docs_Pics/Smartphones/Release_notes/Gigaset_GS270_plus_System_update_version_S140_11_2020.pdf
Hallo zusammen, vielen Dank für die zahlreichen Beiträge, die ein frühes Erkennen des Problems möglich machten. Meine Frau hat ein GS280. Am Ostermontag habe ich erstmals im Internet von den Problemen erfahren. Auf dem GS280 lag ein bereits runtergeladenes Firmwareupdate (102MB) zur Installation bereit. Das GS280 ist es so eingestellt, daß die Installation händisch bestätigt werden muß. Ich habe diese Update gelöscht über Einstellungen/Apps/SystemApps/Systemaktualisierung Speicherinhalt löschen und Cache leeren. Danach war das heruntergeladene Update nicht mehr unter Einstellungen/System/Systemupdate zu sehen. Dann habe ich WLAN am GS280 ausgeschaltet. In den Einstellungen vom Systemupdate habe ich eingestellt: Updates werden nur über WIFI heruntergeladen. Automatische Download sind ausgeschaltet. Bisher sind auf dem GS280 keine der verdächtigen Apps aufgetaucht und die beschriebenen Verhaltensweisen waren nicht zu beobachten.
Sehr geehrter Herr Born,
vielen herzlichen Dank für Ihr Engagement in dieser Sache – und das über die Feiertage!
Nach meinem Eindruck könnten die Update-Server jetzt sauber sein. Seit dem Rücksetzen auf den Werkszustand heute Morgen ist mein Gerät (ein mittelaltes GS160 & Android 6) jedenfalls oberflächlich, scheinbar, in Ordnung. Die verdächtigen Apps: gem, smart, xiaoan sind nicht wieder aufgetaucht. Der Chrome-Browser öffnet nur noch, was er soll, keine dubiosen Werbeseiten mehr. Auch bei mir war der WhatsApp-Zugang gesperrt, ohne nähere Begründung, wurde aber zügig wieder freigegeben. Facebook habe ich nicht. Allerdings kam vor einer Stunde wieder, wie mehrmals in den letzten Tagen, eine SMS mit einem dubiosen Link. Es geht dabei immer in schlechtem Deutsch um irgendwelche Pakete.
Das deutet darauf hin, dass mindestens – wie Sie schon geschrieben haben – die Telefonnummer in Umlauf gebracht wurde und daher weiterhin mit Phishingversuchen zu rechnen ist.
PS. Was man natürlich nicht machen soll: Beim Zurücksetzen bietet Google an, die zuvor installierten Apps erneut zu installieren – keine Ahnung, woher; aus dem Google Drive oder woher auch immer. Nicht lachen, bitte; genau das ist mir gestern Abend beim ersten Versuch passiert, und dann hilft natürlich das Zurückseten nichts …
Das mit der SMS über Pakete geht gerade auf diversen Geräten um, nicht nur in Deutschland. Das ist meiner Meinung nach losgelöst zu betrachten vom Gigaset-Gau.
Das mit den Google Apps habe ich auch schon überlegt…ob nicht auch irgendwie sowieso der Play Store mit betroffen ist. Der wollte nämlich immer irgendwelche Berechtigungen in Verbindung mit der Messenger-App haben (oder umgekehrt, weiß nicht mehr so genau). Danke für den ausführlichen Bericht. Jede Info hilft.
Hatte eine wenigsagende Antwort from Gigaset Service erhalten, die sich ausschließlich darauf bezog, dass com.adups.fota keine Malware sei, sondern gewollt. Und das GS280 sei bei Gigaset bisher nicht mit Malware vom Update Server aufgefallen.
Habe dann als Antwort an Gigaset formuliert: (darf vom Moderator eingekürzt werden)
"Hallo Herr xx,
danke für Ihre Email, die mir leider garnicht weiterhilft. Da müssen Sie nochmal nachbessern.
Ihre Information ist unvollständig, und darüberhinaus vermutlich falsch, wenn sie Glauben, dass beim Model GS280 das Android Betriebssystem nicht durch Malware von Ihren Update Server korrumpiert ist.
Sie ignorieren, dass mein GS280 weitgehend dieselben Symptome aufzeigt wie im Blog von Herrn Born beschrieben.
Spontanes selbst Abschalten, Nicht stören Modus, schnelle Batterie Entladung, langsame Batterie Aufladung ; darüberhinaus: seltsame Zeichen in der Statuszeile "3" ; SW update kurz vor Ostern.
Ich habe in den Einstellungen / Apps / Systemprozesse anzeigen , die Systemprozesse abfotografiert und im Anhang aufgelistet.
Etliche von diesen "System-Prozessen" sind suspekt. (habe ich teils gestern deaktiviert oder mit ADB ruhiggestellt)
Insbesondere gibt es 47 (!!) Systemprozesse die alle gleich (!!) groß sind, ~19,93 MB
Vergleich Sie bitte die Liste der Systemprozesse aus meinem GS280 mit einem GS280 im fabrikneuen Zustand.
Identisch nach Prozessname, App-Größe, Icon ?
Ansonsten bedauere ich ein GS280 gekauft zu haben.
Und Sie müssen einen Weg finden und beschreiben, wie Sie mein GS280 wieder auf einen vertrauenswürdigen Android OS Stand ohne Malware bekommen.
Ich schicke Ihnen auch gerne noch die Liste der System-App apk's , die ich mit dem ADB aus dem GS280 ausgelesen habe.
Wenn es Ihnen hilft, Ihr Problem einzugrenzen.
In hoffnungsfroher Erwartung einer RICHTIGEN Lösung durch Gigaset.
Gruß ""
—————————–
Hier die Liste der System-Apps meines GS280 mit (suspekter) Dateigröße. Welche davon würdet ihr NICHT auf einem GS280 Android 8.1 erwarten?
Basic Daydreams 81,92 kB
Bluetooth MIDI Service 86,02 kB
Bookmark Provider 69,63 kB
Call Log Backup/Restore 19,93 MB
CallEnhancement 147 kB
CaptivePortalLogin 2,33 MB
Carrier Services 20,30 MB
CarrierAccessCacheService 143 kB
CarrierDefaultApp 106 kB
CarrierLoadService 19,93 MB
Cell Broadcast 1,84 MB
com.adups.fota.overlay 36,86 kB
com.android.backupconfirm 77,82 kB
com.android.carrierconfig 73,73 kB
com.android.cts.ctsshim 36,86 kB
com.android.cts.priv.ctsshim 36,86 kB
com.android.providers.partner… 139 kB
com.android.providers.partner… 98,30 kB
com.android.sharedstoragebackup 77,82 kB
com.android.smspush 127 kB
com.android.wallpaperbackup 20,43 MB
com.android.wallpapercropper 311 kB
com.android. wallpaperpicker 1,45 MB
com.qti.dpmserviceapp 19,93 MB
com.qti.qualcomm.datastatusn… 19,93 MB
com.qti.service.colorservice 19,93 MB
com.qualcomm.embms 159 kB
com.qualcomm.qcrilmsgtunnel 19,94 MB
com.qualcomm.qti.autoregistr… 19,93 MB
com.qualcomm.qti.callfeatures… 19,93 MB
com.qualcomm.qti.ims 19,93 MB
com.qualcomm.qti.networksett… 19,94 MB
com.qualcomm.qti.qtisystems… 19,93 MB
com.qualcomm.qti.simsettings 19,93 MB
com.qualcomm.qti.StatsPollM… 115kB
com.qualcomm.qti.telephonys… 19,93 MB
com.qualcomm.timeservice 115 kB
com.quicinc.cne.CNEService.C… 19,94 MB
com.wind.emode 19,93 MB
Companion Device Manager 90,11 kB
ConfDialer 19,93 MB
Conference URI Dialer 19,93 MB
ConfigUpdater 4,44 MB
ContactsPush 5,09 MB
Content Adaptive Backlight Set… 19,93 MB
Dark 36,86 kB
Dateien 3,88 MB
Dateimanager 2,89 MB
Device Info 19,93 MB
Download-Manager 19,96 MB
Downloads 19,93 MB
Druck-Spooler 1,39 MB
Duo 12,89 MB
Eingabegeräte 19,93 MB
Einrichtung des Arbeitsprofils 483 kB
Einstellungen 21,60 MB
Einstellungsspeicher 19,94 MB
Externer Speicher 98,30 kB
Factory Test 19,93 MB
FidoCryptoService 19,93 MB
FotaProvider 586 kB
Foto-Bildschirmschoner 168 kB
FT Terminal Test 19,93 MB
Gesichtsentsperrung 29,41 MB
Google Backup-Transferdienst 19,93 MB
Google One Time Init 233 kB
Google Partner Setup 1,56 MB
Google Sample Home Screen 69,63 kB
Google-Dienste-Framework 20,36 MB
HTML-Anzeige 73,73 kB
Kombinierte Standortbest…. 19,93 MB
Kontakte-Speicher 26,38 MB
Live-Hintergrund-Auswahl 1,86 MB
LocationServices 19,93 MB
Market Feedback Agent 594 kB
Medienspeicher 24,10 MB
Mein Wörterbuch 19,95 MB
MmsService 19,94 MB
MPTest 19,93 MB
MTP-Host 19,96 MB
MusicFX 184 kB
Notfallinformationen 1,92 MB
OpenWnn 430 kB
org.codeaurora.bluetooth 19,94 MB
org.codeaurora.btmultisim 19,93 MB
org.codeaurora.ims 19,93 MB
Package Access Helper 81,92 kB
PacProcessor 77,82 kB
Paket-Installer 2,50 MB
PowerOffAlarm 19,94 MB
Print Service Recommendation… 209 kB
Proxy Handler 81,92 kB
QMMI 19,93 MB
QSensorTest 19,93 MB
Qualcomm IZat 19,94 MB
RawDataTest 19,93 MB
RCSService 19,93 MB
SampleAuthenticatorService 81,92 kB
SampleExtAuthService 81,92 kB
Schlüsselbund 19,98 MB
SecProtect 602 kB
SecureExtAuthSerivce 19,93 MB
SecureSampleAuthService 19,93 MB
Shell 274 kB
SIM-Toolkit 19,94 MB
SimContacts 19,93 MB
….
47 System Apps mit Dateigröße ~19,93 MB ???
es fehlen noch weitere System Apps.. die ich noch listen muß.
Insbesondere ist die "Systemaktualisierung" 2x vorhanden !!!
Insofern, ist die updater App auch schon gekapert worden!
Was tun ??
….. Abschluß der System-App liste vom korrumpierten GS280:
Smart-Divert 19,93 MB
Speicher für blockierte Nummern 19,98 MB
Speichermanager 2,40 MB
Standarddruckdienst 283 kB
SVI Settings 19,93 MB
System-UI 6,43 MB
Systemaktualisierung ("1") 20,25 MB
Systemaktualisierung ("2") 1,23 MB
Tags 664 kB
Telefon 91,43 MB
Telefon- und SMS-Speicher 37,54 MB
Telefondienste 20,07 MB
Wfd Service 19,93 MB
WindRuntimeTest 290 MB
51 System Apps mit Dateigröße ~19,93 MB ???
Ersteinmal Danke für den Blog und die hilfreichen Kommentare!
Ich rate allen Betroffenen, sich auch selbst an Gigaset zu wenden. Ich habe einen Rückruf und Geräteaustausch ins Gespräch gebracht, da mein Telefon mittlerweile soviel Schaden genommen hat, dass ich dem Fixen des Problems nicht vertraue. Meine Sorge: Gigaset „patched" seine Löcher, aber wesentliche Funktionen meines Telefons funktionieren danach (oder nach einiger Zeit) trotzdem nicht mehr oder arbeiten nicht mehr zuverlässig. Was dann? Mal ganz abgesehen davon, dass das ständige harte re—Booten nach wiederholtem Totalstillstand ganz sicher jetzt schon auf die Lebensdauer der entsprechenden Seitentasten gegangen ist….
habe das Gigaset GS270, was auch seit letzter Woche betroffen ist.
Ging los mit Whatsapp Sperre, Nummer nicht mehr zugelassen.
Nicht Stören Modus, Browseröffnungen, Akkuentladungen.
Habe dann erstmal kurzerhand alle "komisch" wirkenden apps entsorgt.
Danach mithilfe eines hilfsprogramm gesucht. und ansich immer wieder die beiden
störenfriede gefunden. base.apk und xiaoan.
mitlerweile findet kaspersky sie nicht mehr. bis auf die tatsache das mein handy sehr langsam geworden ist, ist seit 2 tagen ruhe.
hatte noch von einigen apps die updates zurück genommen, zb. kontakte.
Diese base.apk gibt es mehrfach für unterschiedliche Schädlinge, es reicht also nicht, nur eine davon zu löschen.
siehe dort:
https://www.borncity.com/blog/2021/04/08/malwarebefall-von-gigaset-android-gerten-analysen-und-handlungsoptionen-8-4-2021-teil/#comment-104979
habe rückmeldung von gigaset
im Rahmen von routinemäßigen Kontrollanalysen ist uns aufgefallen, [….] bla, bla …
Andi, danke für den Hinweis, aber ich habe dein Text-Zitat radikal rausgekürzt. Denn diese Platitüden von Gigaset sind jetzt nur wirklich häufig genug hier in die Kommentare reingespült worden. Das ist eine Textschablone, die Gigaset an Alle verteilt, die nicht bei Drei auf den Bäumen ist – und wurde von mir vor einigen Tagen im Beitrag Kurzinfo: Gigaset-Pressemitteilung zum Malware-Befall der Android-Geräte (8.4.2021) thematisiert.
Lege dein Gerät, wie von mir empfohlen, still, kontaktiere den Gigaset-Support und verlange, dass die das Gerät von Malware befreien oder austauschen bzw. den Kaufpreis erstatten. So wie das aktuell aufgezogen wird, wird das nix mehr. Nichts für ungut.
alles ok.
danke für die schnelle reaktion und den ratschlag.
ich bin gespannt wie die umsetzung verläuft… bis dahin alles gute
Mein GS370 ist leider auch betroffen. Nach einem Update bleibt das Handy beim einschalten beim Gigaset Logo hängen. Gleichzeitiges langes drücken der Lautstärke + und der Ein/Austaste bringt mich in ein Menü mit chinesischen (?) Menüpunkten. Langes drücken der Lautstärke – und der Ein/Austaste bringt mich in ein Auswahlmenü mit den Punkten: Recovery, Normal und Fastboot. Ein Anwählen und bestätigen ist mit den Lautstärketasten zwar möglich, das anwählen von normal bzw. fastboot führt aber wieder zum oben beschriebenen Problem (Gerät bleibt beim Gigaset Logo hängen). Die Auswahl von Recovery führt auf ein Android Symbol und der Angabe "no command" darunter.
Hat jemand einen Ratschlag wie ich die Daten (insbesondere Fotos und Kontakte) des Smartphones vielleicht noch sichern könnte? Gigaset hatte mir zur Reparatur / Austausch des Geräts ein Versandlabel zugeschickt. Die Daten werden seitens Gigaset aber vermutlich nicht gesichert wodurch ich die Möglichkeit aktuell noch nicht in Betracht gezogen habe.
Vielen lieben Dank für eure Hilfe