Man stelle sich vor: Da erhält man eine harmlos wirkende E-Mail, darin befindet sich ein Link. Man klickt darauf, eine Website öffnet sich. Ohne Wissen des Nutzer erlangt ein fremder Angreifer nun kompletten Zugriff auf das System. Bislang musste man nur am Desktop-Rechner vor solchen Szenarien Angst haben – nun wurde bekannt, dass auch eine schwere Sicherheitslücke im Android-Browser derartige Fremdzugriffe zulässt.

Die Sicherheitsfirma CrowdStrike hat die Lücke entdeckt und will sie auf einer Cybersecurity-Konferenz nächste Woche in San Francisco demonstrieren. Das Szenario sieht vor, dass ein Hacker eine Nachricht oder E-Mail über eine dem Attackierten vertrauenswürdige Person sendet (SMS-Absendernummern und E-Mail-Absender können leicht gefälscht werden) und ihn auffordert, auf einen bestimmten Link zu klicken. Die Website, die der Attackierte öffnet, nutzt daraufhin eine bislang unbekannte WebKit-Sicherheitslücke aus, die in allen Android-Versionen bis Version 2.2 „Froyo“ präsent ist – das sind derzeit noch 28% aller Android-Smartphones. Der Angreifer kann nun aus der Ferne das Smartphone komplett übernehmen und beispielsweise Anrufe mitschneiden oder den Aufenthaltsort des Opfers protokollieren.

Zu der Sicherheitskonferenz nächste Woche will das CrowdStrike-Team auch eine Version des Exploits präsentieren, die unter Android 2.3 „Gingerbread“ lauffähig ist. Es wäre möglich, dass die Sicherheitslücke auch den iOS-Browser und Google Chrome betrifft, wenngleich die Sicherheitsforscher auf diesen Plattformen die Anwendung der Lücke nicht getestet haben.

Das Problem an solchen Sicherheitslücken ist, dass der in Android integrierte Stock-Browser nicht direkt von Google aktualisiert werden kann – er ist in die Hersteller-Firmwares eingebettet. Nutzer älterer Geräte müssen sich also darauf verlassen, dass Motorola, Samsung, HTC und Co. eingenständig Updates für ihre Smartphones bereitstellen – ein Unterfangen, mit dem diverse Hersteller bekanntermaßen Probleme haben.

Quelle: Reuters [via Phone Arena, Bildquelle]