Besitzer eines Samsung Smartphones sollten nun besonders vorsichtig beim mobilen surfen sein. Zumindest dann, wenn sie noch kein Android 4.1 Jelly Bean auf ihrem Gerät haben.

Samsung Fernlöschung: Schwere Sicherheitslücke in Smartphones entdeckt! (Update)

Besitzer eines Samsung Smartphones sollten nun besonders vorsichtig beim mobilen surfen sein. Zumindest dann, wenn sie noch kein Android 4.1 Jelly Bean auf ihrem Gerät haben.

USSD-Codes werden schon seit langem von Handy-Herstellern genutzt um irgendwelche versteckten Aktionen über das Tastenfeld auf einem Handy auszuführen. Auch Samsung verwendet diese Codes und hat sie um einige nützlich Funktionen erweitert, wie z.B. um das Zurücksetzen des Smartphones. Dies geschieht z.B. auf dem GALAXY S3 ganz einfach über den Code *2767*3855# und eine Bestätigung der Eingabe indem man auf “Aufrufen” tippt.

Das Problem!

Der Entwickler Ravi Borgaonkar ist nun aber auf eine Möglichkeit gestoßen, wie man diesen Code in eine manipulierte Webseite einbauen und das Samsung-Gerät ohne Zutun des Benutzers löschen kann.

Aktuelle Smartphones bringen den Komfort mit, dass sich Telefonnummern auf Webseiten direkt antippen und somit wählen lassen können. Ähnlich wie bei “mailto:”-Links muss man dazu nur ein “tel:” vorn an den Link hängen.

<a href=”tel:0123456789″>Telefonnummer</a>

Web-Entwickler werden nun ahnen wie einfach man den Schadcode so verpacken kann, dass er automatisch in die Telefon-App übertragen und ausgeführt wird. Wenn man nun nämlich den USSD-Code (*2767*3855#) in einem iFrame verpackt, wird der USSD-Code übergeben und das Samsung-Smartphone löscht sich.

<frame src=”tel:*2767*3855#” name=”Reset” />

Wer ist betroffen?

Scheinbar sind alle Smartphones von Samsung betroffen, die noch kein Jelly Bean Update erhalten haben. Das GALAXY Nexus ist aber scheinbar nicht betroffen.

Was kann man tun?

  • Beim surfen besonders vorsichtig sein und keine unseriösen Webseiten aufrufen
  • WAP-Push in den Einstellungen der Nachrichten-App deaktivieren, da man den Code auch über diese Funktion empfangen könnte
  • Nicht jeden QR-Code oder NFC-Tag auf der Straße scannen
  • Einen weiteren Dialer aus dem Play Store installieren, damit beim Aufrufen eines solchen Links eine weitere Abfrage kommt, welche App zum öffnen benutzt werden soll
  • Nicht den Standard-Browser sondern eine Alternative wie Chrome, Opera oder Firefox verwenden
  • Und zuletzt: Hoffen das bald ein Update auf Android 4.1 kommt

Demo: Samsung USSD-Code Sicherheitslücke

httpv://youtu.be/Q2-0B04HPhs

Über Riza Aslan

Gründer des Your-Android News-Magazines. Chefredakteur, Android-Freak und Technikbegeisterter Fachinformatiker.

Ansehen!

Smartphone desinfizieren

Corona-Krise: Smartphone desinfizieren?

Laut britischen Forschern soll jedes sechste Handy Kotreste aufweisen. Da denkt nun jeder gleich daran sein Smartphone zu desinfizieren, richtig?

Ein Kommentar

  1. kleine Frage: wenn es gerooted ist, kriege ich trotzdem automatisch Updates? Oder muss ich es dafür unrooten?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.