Malwarebefall von Gigaset Android-Geräten: Analysen und Handlungsoptionen (8.4.2021) – Teil 1

[English]Von der Firma Gigaset wurde zum 8. April 2021 eine Information Lösung Malware-Angriff Smartphones zum Malware-Befall diverser Android-Geräte (seit dem 1. April 2021) herausgegeben. Dort findet sich auch eine Anleitung, wie Betroffene ihre Geräte vom Malwarebefall säubern können sollen. In nachfolgendem Text bereite ich die Informationen von Gigaset auf und ergänze diese um eigene Erkenntnisse, angereichert um die vielen hier offen gebliebenen Fragen. Danach sollte jeder Besitzer von Gigaset-Geräten entscheiden, wie vorzugehen ist.

Malware-Befall auf Gigaset Android-Geräten

Im Blog-Beitrag Lösung Malware-Angriff Smartphones schreibt der Hersteller, dass bei einigen älteren Smartphones Probleme mit Schadsoftware aufgetreten sind, was bei routinemäßigen Kontrollanalysen aufgefallen sei. Ausweislich der Aussagen des Herstellers wurde die "Infizierung von Smartphones am 7. April 2021 abgestellt". Die ersten Infektionen habe ich im Artikel Gigaset Android-Update-Server liefern vermutlich Malware aus mit 1. April 2021 nachweisen können.

Welche Modelle sind nicht betroffen?

Gemäß Aussage von Gigaset sind die Smartphone-Modelle der Smartphone-Baureihen GS110, GS185, GS190, GS195, GS195LS, GS280, GS290, GX290, GX290plus, GX290 PRO, GS3 und GS4 von diesem Malware-Befall nicht betroffen.

Hier ist aber die Frage offen, was mit dem Gigaset GS280 ist. Ich verweise auf den Kommentar von Bolko, der schreibt: Außerdem fehlt in der Liste der betroffenen Geräte mindestens das GS280 oder sollen die 51 Dateien mit jeweils 19,93 MB. normal sein?

Diese Modelle sind potentiell betroffen

Laut Gigaset sind potentiell ausschließlich ältere Smartphone-Modelle der Baureihen GS100, GS160, GS170, GS180, GS270 (plus) sowie GS370 (plus) betroffen. Ich interpretiere dies so, dass dies am verwendeten Update-Server festgemacht wird – von denen einer nach Aussage von Gigaset durch einen Lieferkettenangriff (Supply-Chain-Attack) betroffen war und über einen in der Firmware vorhandenen Auto-Updater Malware auslieferte.

Ergänzung: Inzwischen wird es für mich etwas klarer – es sieht so aus, als ob historisch zwei Update Provider (#1 Redstone, #2 Adups) von Gigaset zur Aktualisierung verwendet wurden/werden. Bei älteren Geräten ist ein System-Updater von Redstone in der Firmware in Verwendung und von denen wurde mutmaßlich ein Server kompromittiert. Die System-Updates kommen von Gigaset Deutschland und Polen, werden aber über die Update-Server in China (die als Provider fungieren) ausgeführt. Was mir unklar ist: Wieso können Dritte da so einfach Pakete auf einen Update-Server bereitstellen und das fällt nicht auf? Wird nicht digital signiert, oder ist ein privater Schlüssel zum Signieren abhanden gekommen?

Nicht alle Geräte betroffen, Update fehlte?

Die Rückmeldungen der Leserschaft und meine Erfahrungen mit eigenen Geräten zeigen, dass nicht alle Exemplare der oben genannten Modelle infiziert wurden. Gigaset schreibt dazu:

Nach jetzigem Informationsstand wurden aus den betroffenen Produktlinien nur einige Geräte, bei denen die in der Vergangenheit seitens Gigaset zur Verfügung gestellten Software-Updates nutzerseitig nicht ausgeführt wurden, infiziert. Auf diese Geräte wurde durch einen kompromittierten Server eines externen Update-Service-Providers Schadsoftware aufgespielt.

Leider bleibt der Hersteller bedeckt, was die Details der "zur Verfügung gestellten Software-Updates" betrifft. Im Blog-Beitrag Vorläufige Analyse des Gigaset Malware-Angriffs durch Auto-Installer in der Firmware hatte ich darauf hingewiesen, dass Sicherheitsforscher den in der Firmware der Gigaset-Android-Smartphones installierten Auto-Installer com.redstone.ota.ui auch als Android/PUP.Riskware.Autoins.Redstone bezeichnen. Das wäre der System-Updater des Providers Restone. Hier wäre gut gewesen, zu wissen, welche Komponente (com.redstone.ota.ui oder update.apk etc.) hätte installiert werden müssen. Blog-Leser Bolko wirft in diesem Kommentar die gleichen Fragen auf, die mir so durch den Kopf gehen.

Das ein nicht installiertes Software-Update fehlte und die Infektion dadurch ermöglicht wurde, kann ich nicht ausschließen. Aber die Aussage des Herstellers möchte ich nicht unkommentiert stehen lassen. Die Aussage ließe sich so interpretieren, als ob der Benutzer da ein Update verweigert hat (vorsichtig ausgedrückt). Dem wird in diesem Kommentar (und in Rückmeldungen, die ich von anderen Nutzern erhalten habe) vehement widersprochen. Es könnte auch schlicht so sein, dass die Update-Ansätze des Herstellers nicht funktionieren und Leute diese Aktualisierungen nie bekommen haben. Ich verweise mal auf diesen Kommentar von Blog-Leser Niklas, der das Problem an der Aussage des Herstellers aufzeigt:

Wir haben ca. 110 Gigaset GS370 Plus im Einsatz. Alle über ein mdm gesteuert. Dort sind alle Möglichkeiten zur App Installation fernab der von mir freigegeben Apps blockiert.

Sprich:

Kein apk sideload
Kein Playstore
Keine Installation über irgendeinen Weg.

Einzig der Update Mechanismus der Firmware ist weiterhin offen gewesen.

Sollte das (Sicherheits-)Update von Gigaset als App per Google Play Store oder APK-Side-Load und nicht als Firmware-Aktualisierung vorgesehen worden sein, wären die Gigaset-Geräte nicht für eine Verwaltung per Mobile Device Management (MDM) geeignet. Hier bleibt die Frage offen, ob Fehler der Benutzer oder ein Versagen des Update-Mechanismus zu den jetzigen Problemen führten. Feststellbar ist jedenfalls, dass der Restone-System-Updater durch die jetzt angelaufenen System-Updates entfernt wird.

Problem Update-Server von Drittanbietern

An dieser Stelle weise ich auf ein Problem hin, welches in der gesamten Angelegenheit nonchalant als "Update-Server eines Providers" umschrieben wird. Ausweislich der Kommentare zu diesem Gigaset-Blog-Posts verwenden die Modelle GS3 und GS4 die Update-Server der ADUPS Ltd. benutzen. Die in Shanghai beheimatete chinesische Firma bietet zwar Update-Services für eine Milliarde Geräte an. Kann man so tun, aber man sollte die Auswahl auch aus Zuverlässigkeitsgesichtspunkten vornehmen. Und da deuten sich nach meinem bisherigen Wissen Probleme an.

Der Anbieter ADUPS LTD. genießt seit Jahren einen Ruf, der alles andere als "weiße Weste" darstellt. Ich verweise auf den heise-Beitrag Adups: Android-Riskware mit Déjà-vu-Effekt, der kein wirklich gutes Gefühl zurück lässt, wenn dies der Provider ist, der Gigaset Geräte-Updates verwaltet. Da es 2019 einen Malware-Befall bei Gigaset-Geräten gegeben hat (siehe folgende Anmerkung), an dem mutmaßlich der vorherige Provider Redstone involviert war, und deren Update-Server mutmaßlich jetzt wieder in einem Lieferkettenangriff kompromittiert wurden und die Schadsoftware auslieferten, wirft auch das kein gutes Bild auf die Angelegenheit.

Anmerkung: Was auch, zumindest bei mir, Fragezeichen auf der Stirn hervorruft: Es ist ja nicht der erste Vorfall bei Gigaset-Geräten, die durch per Update-Server ausgerollte Malware infiziert wurden (siehe diesen Artikel aus 2019). Zudem verweise ich auf diesem Kommentar hier im Blog, der angibt, dass Gigaset-Modelle im türkisch-sprachigen Raum als Kaan N Serie vermarket werden. Dort hat es im August 2020 einen Malware-Befall gegeben – dummerweise ist mein Türkisch sauschlecht, so dass ich die Details noch nicht evaluieren konnte.

Malwarebefall soll automatisch korrigiert werden

In einem Vorgespräch per Telefon vor einigen Tagen gab es von Gigaset die Aussage, dass man die Infektion des Update-Servers gestoppt habe, es werde keine neue Malware mehr ausgeliefert und man habe in Zusammenarbeit mit dem Provider sogar eine Lösung bereitstellt, dass sich betroffene Geräte automatisch bereinigen. Das liest sich in der Mitteilung von Gigaset so:

Gigaset hat umgehend eingegriffen und Kontakt mit dem Update-Service-Provider aufgenommen. Dieser hat unmittelbare Maßnahmen ergriffen und Gigaset gegenüber bestätigt, dass die Infizierung von Smartphones am 7. April abgestellt werden konnte.

Es wurden Maßnahmen getroffen, um infizierte Geräte automatisch von der Schadsoftware zu befreien.

Dazu müssen die Geräte mit dem Internet verbunden sein (WLAN, WiFi oder mobile Daten). Wir empfehlen zudem, die Geräte an das Ladegerät anzuschließen. Betroffene Geräte sollten binnen 8 Stunden automatisch von der Schadsoftware befreit sein.

An dieser Stelle gibt es zumindest Zweifel, dass dies bei allen Benutzern funktioniert (ob es bei niemandem funktioniert, kann ich nicht beantworten). Der Kommentar hier bestätigt zwar, dass schädliche Apps weg seien – aber die Browser-Umleitungen in Google Chrome erfolgen weiterhin. Zudem verweise ich an dieser Stelle diesen Kommentar vom 8. April 2021, der zu meinem Artikel bei heise eingegangen ist. Alleine der Aufruf des Google Play Store reichte, um die nachfolgende Meldung angezeigt zu bekommen.

Wenn also die schädliche App com.yhn4621.ujm0317 am 8. April 2021 weiterhin auf dem Gerät gefunden und gemeldet wird, kann es (zumindest auf diesem Gerät) mit der Immunisierung nicht geklappt haben. Ergänzung: Über Nacht sind zum Morgen des 9. April erste Rückmeldungen eingetroffen, dass die Geräte bereinigt seien und kein schädliches Verhalten mehr zeige. Es gibt also durchaus Gerätebesitzer, wo das Auto-Update geholfen hat.

Es lässt sich also festhalten: Mit der automatischen Immunisierung der Geräte klappt es nicht immer zuverlässig, wie von Gigaset angegeben. Zudem habe ich deutliche Bauchschmerzen, ein kompromittiertes Gerät, das Daten (z.B. über WhatsApp) versendet, und dessen Stillegung ich empfohlen hatte  (Malwareangriff: Was Gigaset Android-Gerätebesitzer jetzt machen sollten) wieder ans Netz gelassen wird. Was man aktuell als Betroffener machen kann, wenn man sich auf das Auto-Update einlassen möchte:

• SIM-Karte aus dem Gerät entfernen, und WhatsApp sowie SMS tot legen (z.B. WhatsApp und den SMS-Messenger als App deinstallieren/deaktivieren), um den Versand von Nachrichten während der Update-Phase zu verhindern.
• Das Gerät an ein Ladegerät hängen, da der Update-Vorgang bis zu 8 Stunden dauern kann, das gestartete Gerät möglichst am Gast-Zugang eines WLAN-Routers anmelden und updaten lassen.
• Danach eine Antivirus-App installieren, um zumindest über mögliche Malware informiert zu werden.
• WhatsApp- und SMS-Nachrichten mit aller Vorsicht behandeln, da durch den Vorfall die Gefahr der Rückinfektion besteht.

Ich hoffe, dass mit diesen Maßnahmen zumindest der größte Mist während des Auto-Updates verhindert werden kann. Wie es mit den Anleitungen von Gigaset zum manuellen Bereinigen ausschaut, und warum das nicht immer oder sehr schlecht funktioniert, behandelte ich in Teil 2 dieser Artikelreihe. Dort wird auch angesprochen, was noch zu bedenken ist.

Ähnliche Artikel:
Gigaset Android-Update-Server liefern vermutlich Malware aus
Neues zum Gigaset Android-Smartphone Malware-Befall (April 2021)
Malwareangriff: Was Gigaset Android-Gerätebesitzer jetzt machen sollten
Update zum Malware-Befall bei Gigaset Android-Geräten (6.4.2021)
Vorläufige Analyse des Gigaset Malware-Angriffs durch Auto-Installer in der Firmware
Kurzinfo: Gigaset-Pressemitteilung zum Malware-Befall der Android-Geräte (8.4.2021)

Malwarebefall von Gigaset Android-Geräten: Analysen und Handlungsoptionen (8.4.2021) – Teil 1
Malwarebefall von Gigaset Android-Geräten: Analysen und Handlungsoptionen (8.4.2021) – Teil 2
Gigaset: Hürden beim Bereinigen des Malwarebefalls (12. April 2021)
Gigaset-Malwarebefall und das WhatsApp/SIM-Problem