Xiaomi-Smartphones: Risiko durch Sicherheitslücken

[English]Mir liegen aktuell gleich zwei Informationen zu Risiken durch Sicherheitslücken bei Xiaomi-Smartphones vor. Der chinesische Anbieter liefert eine Themes-App aus, die versucht, den von Google eingebauten Android Sicherheitsschutz zu umgehen. Zudem haben Sicherheitsforscher eine Schwachstelle in MediaTek-Chips entdeckt, die das in den Xiaomi-Smartphones integrierte Zahlungssystem angreifbar machen.

Persönlich habe ich die letzten Jahre um Smartphones und viele Produkte chinesischer Hersteller wie Huawei, One,  Xiaomi etc. einen Bogen gemacht und auch keine Produkte mehr hier im Blog vorgestellt. Allerdings ist mir klar, dass so gut wie alle Smartphones und Geräte von Motorola, Medion und weiteren Herstellern in China gefertigt werden und sogar chinesische Firmen dahinter stehen. Selbst die als "deutsche Fima" auftretende Gigaset ist in chinesischer Hand. Aber Xiaomi ist hier im Blog schon mehrfach wegen Problemen thematisiert worden (siehe Links am Artikelende).

Xiaomi Themes-App

Blog-Leser Sebastian H. hat mich zum Sonntag auf eine unschöne Geschichte aufmerksam gemacht. Der chinesische Anbieter liefert eine Themes-App aus, die versucht, den von Google eingebauten Android Sicherheitsschutz zu umgehen. Sebastian schrieb:

Sehr geehrter Herr Born,

eventuell ist dieses Thema interessant für Sie und eignet sich für einen Beitrag in Ihrem (nebenbei gesagt sehr guten und informativem!) Blog.

Heute Morgen wurde ich mit einer merkwürdigen Android-Benachrichtigung auf dem Homescreen begrüßt. Sie kommt direkt vom Google-eigenen PlayProtect, welches bekanntlich auf dem Gerät installierte Apps auf Malware, Viren, Trojaner, etc. überprüft.
Interessanterweise stammt die "böse" Themes-App direkt aus dem Hause Xiaomi…. Das lässt durchaus ein wenig aufhorchen, oder ? Falscher Alarm, kleiner Fehler seitens Xiaomi oder Google, politische Entscheidung oder im schlimmsten Fall gar ein Gigaset-ähnliches Szenario ?

Da ich am Sonntag möglichst nicht blogge, hole ich die Information nach. Sebastian hat mich auf verschiedene Beiträge auf reddit.com hingewiesen, wo andere Nutzer das Thema diskutieren. Nachfolgender Screenshot stammt aus diesem reddit.com-Post und zeigt eine entsprechende Meldung von Googles Play Protect.

Es gibt eine Reihe Nutzer, die die Meldung erhalten haben. Weitere Posts auf reddit.com finden sich hier und hier. Am 13. August 2022 mit Update zum 14. August 2022 hat Xiaomi in der Community diesen Beitrag gepostet.  Dort heißt es:

Themes APP Got Blocked by Google Play Protect

This alert is no longer issued and we are working together with Google to identify the cause of the issue.

If you still see the alert, but have not yet disabled the Themes APP, here's what you can do

….

Es wird bestätigt, dass Google Play Protect die Themes-App blockiert. Eigentlich sollte die Warnung inzwischen nicht mehr erscheinen und der Hersteller arbeitet mit Google zusammen, um das Problem zu lösen. Scheint also erst einmal ein falscher Alarm von Google Play Protect zu sein.

Unklarheiten bei der Leserschaft

Von Bolko wurde gefragte, auf welche Version der Themes App dss betrifft und um welche Android– bzw welche MIUI-Version ers geht? Kann nicht ad hoc beantwortet werden. Nach Recherchen von Bolko schrieb er:

Die aktuelle gefixte Themes-App Version ist "Themes Global 2.1.0.3".

techrushi[.]com/how-to-fix-xiaomi-themes-app-blocked-on-google/

Downloadlink der gefixten Themes App 2.1.0.3 (Telegram):
t[.]me/MiuiSystemUpdates/5389

bzw als Channel-Preview für User ohne Telegram-Account:
t[.]me/s/MiuiSystemUpdates/5389

Also betrifft dieser Fehler irgendeine Version zwischen
"Themes 2.0.6.5-global" (noch OK)
und
"Themes 2.1.0.3-global" (bereits gefixt)

Kann man das auf eine konkrete Version weiter eingrenzen?

Leser Cali hat dann die folgenden Informationen ergänzt:

Ich hatte die gleiche Meldung wie der Blogleser. Ich kann seit dem auch die Themes und Hintergrund Einstellungen unter den Einstellungen nicht mehr aufrufen, die Hersteller-App hat sich auch eigenständig gelöscht:

Redmi Note 10 Pro
MIUI 13.0.10(SKFEUXM)
Android 12 SKQ1.21xxxx mit einem Sicherheitsupdate vom 1.6.2022

An der Stelle möchte ich auf auf nachfolgenden Kommentar von Ralf verweisen, der von einem "false positive" berichtet, der durch Google Play ausgelöst worden sei. Denn auf seinem Redmi Note 10 Pro wurde die App von Play Protect als mögliche Gefährung bezeichnet und angeboten diese zu deaktivieren. Lurze Zeit später wird die gleiche AppVersion (2.0.6.5-global: aufgespielt am 23.06.) nicht mehr moniert.

Schwachstellen im Xiaomi-Zahlungsmechanismus

Mobile Zahlungssysteme sind stark im kommen, laut den neuesten Statistiken entfielen 2021 zwei Drittel der weltweiten mobilen Zahlungen auf den Fernen Osten und China. Das entspricht in etwa vier Milliarden US-Dollar an Transaktionen mit mobilen Geldbörsen. Entsprechend groß ist daher das Interesse von Hackern, sich Zugang oder sogar Kontrolle über virtuelle Zahlungswege zu verschaffen. Daher schauen Sicherheitsforscher sich die entsprechenden Lösungen genau an.

Alte App mit Schwachstellen

Sicherheitsforscher von Check Point Research (CPR) haben Schwachstellen in Xiami-Smartphons mit MediaTek-Chips gefunden, die es ermöglichen, Zahlungen zu fälschen und das Zahlungssystem direkt von einer unprivilegierten Android-Anwendung aus zu deaktivieren.

Hintergrund ist, dass Xiaomi seine eigenen vertrauenswürdigen Apps auf den Geräten einbetten und signieren kann. CPR stellte fest, dass Angreifer eine alte Version einer vertrauenswürdigen App auf das Gerät übertragen und damit die neue App-Datei überschreiben können. So kann ein Angreifer die von Xiaomi oder MediaTek in vertrauenswürdigen Anwendungen vorgenommenen Sicherheitsfixes und -mechanismen behebungen umgehen, indem er die Apps auf nicht gepatchte Versionen herunterstuft.

Die Check Point Sicherheitsforscher endeckten mehrere Schwachstellen in der vertrauenswürdigen App „thhadmin", die für die Sicherheitsverwaltung zuständig ist. Diese Schwachstellen könnten ausgenutzt werden, um gespeicherte Schlüssel auszuspähen oder Codes im Kontext der App auszuführen, um damit böswillige Aktionen durchzuführen.

Hintergrund: Sichere TEE, sichere Zahlungen

Die sogenannte vertrauenswürdige Ausführungsumgebung oder Trusted Execution Environment (TEE) ist seit vielen Jahren ein fester Bestandteil von Mobilgeräten. Ihr Hauptzweck ist die Verarbeitung und Speicherung sensibler Sicherheitsinformationen wie kryptografische Schlüssel oder Fingerabdrücke. Da die Signaturen für mobile Zahlungen in der TEE ausgeführt werden, ist deren Sicherheit maßgeblich für die Sicherheit von Zahlungen.

Zuvor wurde der asiatische Markt, der vor allem durch Smartphones mit MediaTek-Chips repräsentiert wird, noch nicht umfassend von CheckPoint oder andere Firmen erforscht. Niemand untersucht vertrauenswürdige Anwendungen, die von Geräteherstellern wie Xiaomi geschrieben wurden, obwohl das Sicherheitsmanagement und der Kern des mobilen Zahlungsverkehrs dort implementiert sind. Mit der Studie von CheckPoint werden erstmalig vertrauenswürdige Anwendungen von Xiaomi auf Sicherheitsprobleme überprüft. Die Untersuchung befasst sich mit den vertrauenswürdigen Anwendungen von Geräten mit MediaTek-Betriebssystem. Das verwendete Testgerät war das Xiaomi Redmi Note 9T 5G mit MIUI Global 12.5.6.0 OS.

Integriertes Framework für mobile Zahlungen gefährdet

Xiaomi-Geräte verfügen über ein integriertes Framework für mobile Zahlungen namens "Tencent Soter", das ein API (Application Programming Interface) für Android-Anwendungen von Drittanbietern bereitstellt, um die Zahlungsfunktionen zu integrieren. Seine Hauptfunktion besteht darin, die Verifizierung von Zahlungspakete zu ermöglichen, die zwischen einer mobilen Anwendung und einem entfernten Backend-Server übertragen werden. Darin besteht im Wesentlichen die Sicherheit, auf die sich Benutzer verlassen, wenn sie mobile Zahlungen durchführen.

Abbildung 1: Implementierung des Tencent-Soters auf Xiaomi-Geräten

Nach Angaben von Tencent unterstützen Hunderte von Millionen Android-Geräte Tencent Soter. WeChat Pay und Alipay sind die beiden größten Akteure in der chinesischen digitalen Zahlungsbranche. Zusammen machen sie etwa 95 Prozent des chinesischen Marktes für mobile Zahlungen aus. Jede dieser Plattformen hat über eine Milliarde Nutzer. WeChat Pay basiert auf dem Soter von Tencent. Wenn ein App-Anbieter sein eigenes Zahlungssystem implementieren möchte, einschließlich des Backends, in dem die Kreditkarten und Bankkonten der Nutzer gespeichert sind, ohne an die WeChat-App gebunden zu sein, kann er direkt den Tencent-Soter verwenden. Diese Vorgehensweise ermöglicht es ihm, Transaktionen in Echtzeit auf seinem Backend-Server zu überprüfen und sicherzustellen, dass ein Zahlungspaket von seiner App, die auf einem bestimmten Gerät installiert ist, gesendet und vom Nutzer genehmigt wurde.

Die von CPR entdeckte Schwachstelle, die Xiaomi mit CVE-2020-14125 bezeichnet, kompromittiert die Tencent-Soter-Plattform vollständig und ermöglicht es einem nicht autorisierten Benutzer, gefälschte Zahlungspakete zu signieren.

Im Rahmen der Untersuchungen fand CPR eine Möglichkeit, die in Xiaomi-Smartphones integrierte Plattform anzugreifen, die von Millionen von Nutzern in China für mobile Zahlungen verwendet wird. Eine nicht privilegierte Android-Anwendung könnte die Sicherheitslücke CVE-2020-14125 ausnutzen, um Codes in der vertrauenswürdigen Wechat-App auszuführen und Zahlungspakete zu fälschen.

CPR teilte sämtliche Erkenntnisse verantwortungsbewusst mit Xiaomi. Der Hersteller konnte die Schwachstellen bestätigen und basierend auf der resultierenden Zusammenarbeit die Gefahr beseitigen. Die Schwachstelle wurde nach der Offenlegung noch im Juni 2022 von Xiaomi gepatcht. Darüber hinaus konnten die Forscher feststellen, wie die Downgrade-Schwachstelle in Xiaomis TEE es der alten Version der Wechat-App ermöglichen kann, private Schlüssel zu stehlen. Diese vorgestellte Leseschwachstelle wurde ebenfalls von Xiaomi nach der Offenlegung und Zusammenarbeit gepatcht. Das Downgrade-Problem, das von Xiaomi bestätigt wurde und zu einem Drittanbieter gehört, wird in Kürze behoben. CheckPoint hat diesen Beitrag zum Sachverhalt veröffentlicht.

Ähnliche Artikel:
Wegen Embargo: Xiaomi sperrt Smartphones
Xiaomi-Smartphones und die Nutzer-Spionage
Sicherheitslücke in Millionen Xiaomi Smartphone-ROM
Telefonieren Xiaomi-Smartphones "nach Hause"?
Litauen warnt vor Kauf chinesischer 5G-Smartphones
Gigaset-Malwarebefall und das WhatsApp/SIM-Problem