Lookout-App schützt Android-Smartphones vor USSD-Lücke

Die neue Version der Sicherheits-App Mobile Security von Lookout schließt die USSD-Schwachstelle, über die Angreifer bestimmte Android-Smartphones ohne Zutun des Nutzers auf die Werkeinstellungen zurücksetzen können. Anders als bei dem bislang empfohlenen Workaround lässt die Lookout-App die Ausführung die vom Nutzer gewollten Aktionen von Steuercodes zu.

Lookout hat eine neue Version seiner Sicherheits-App Mobile Security für Android-Smartphones veröffentlicht, die das Sicherheitsrisiko durch die vor kurzem entdeckte USSD-Schwachstelle in bestimmten Android-Smartphones von Herstellern wie Samsung, HTC, Motorola und Huawei minimiert. Die App scannt einen auf einer Website hinterlegten und angeklickten Telefon-Link und warnt den Nutzer, wenn dadurch eine nichtgewollte Aktion auf dem Smartphone ausgelöst wird. Erkennt die App keine Gefahr durch den Telefon-Link, wird die Nummer angewählt.

Vor kurzem hatte ein Sicherheits-Experte auf einer Hacker-Konferenz in Buenos Aires eine Sicherheitslücke auf dem Samsung Galaxy S3 und dem Samsung Galaxy S2 vorgeführt, die auch auf einigen Android-Smartphones anderer Smartphones besteht. Google hat laut Lookout diese Sicherheitslücke schon vor drei Monaten im Standard-Dialer von Android gepatcht, so dass beispielsweise für das Galaxy Nexus kein Sicherheitsrisiko durch die USSD-Schwachstelle besteht. Bestimmte Smartphone-Modelle mit herstellereigenen Benutzeroberflächen wie Samsungs Touchwiz oder HTCs Sense sind jedoch weiterhin gefährdet. Auf welchen Geräten das Sicherheitslücke besteht und auf welchen sie bereits geschlossen wurde, haben wir in einer Meldung vom vergangenen Donnerstag zusammengefasst. Die Hersteller selbst haben den Nutzern noch keine aufklärenden Informationen zukommen lassen.

Noch ist kein Fall bekannt geworden, in dem diese Schwachstelle im Android-System auch ausgenutzt wird. Doch das Problem ist schwerwiegend: Über NFC-Tags, QR-Codes oder WAP-Push-SMS können Angreifer auf die betroffenen Android-Geräte einen Link auf eine Website mit einem präparierten Frame übertragen, in den der entsprechende USSD-Code *2767*3855# eingebettet ist, der auch ohne Zutun des Nutzers das Android-Smartphone auf die Werkeinstellungen zurücksetzt oder die SIM-Karte sperrt.

Die Mobile-Security-App von Lookout steht kostenlos im Google Play Store zum Download bereit. Nutzer ungepatchter Geräte können dort alternativ auch die App NoTelURL herunterladen, die den Zugriff von USSD-Steuercodes ohne Freigabe des Nutzers blockiert - allerdings auch dann, wenn der Nutzer einen USSD-Code bewusst einsetzen möchte. Auch andere Hersteller von Anti-Viren-Software haben inzwischen auf die USSD-Sicherheitslücke auf Android-Smartphones reagiert.