Blooover - Bluetooth-Handy als BlueBugging-Instrument

Bluetooth-Angriffe auf Handys nicht mehr nur mit dem Notebook möglich

Bluetooth-Handys sind auf Grund teils eher schlampiger Bluetooth-Integration nicht so sicher, wie ihre Nutzer es wähnen - insbesondere da Angreifer zum Ausspähen, Daten-Sammeln und SMS-Verschicken statt eines Notebooks mittlerweile auch ein normales Bluetooth-Handy nutzen können. Die Sicherheitsproblematik demonstrierte das trifinite-Team nun auf dem Chaos Communication Congress in Berlin mit einer neueren, als "recht stabil" geltenden Version ihrer "Blooover" getauften Handy-Software.

Zu den Mitgliedern der Non-Profit-Vereinigung trifinite zählen Adam Laurie und Martin Herfurt, die beide anhand verschiedener Ansätze zeigten, dass die Bluetooth-Integration einiger Bluetooth-fähiger Mobiltelefone Sicherheitslücken aufweist. Diese ermöglichen es, ungeschützte Bluetooth-Handys unentdeckt auszulesen (BlueSnarfing) bzw. Handy-Funktionen wie Telefonieren und SMS-Versenden ohne Wissen des Handy-Halters zu nutzen (BlueBugging).

Eine weitere unangenehme Angriffsmöglichkeit ist "BlueSmack", eine Ping-of-Death-ähnliche Denial-of-Service-Attacke, mit der in Empfangsreichweite befindliche und anfällige Bluetooth-Geräte gleichzeitig gestört werden können. Mit Blueprinting - dem Abfragen von möglichst vielen Geräteinfos - kann zudem herausgefunden werden, von welchem Hersteller ein Bluetooth-Handy ist, welche Dienste aktiv sind und ob es für Angriffe empfindlich ist. Laurie und Herfurt stellen BlueSmack und Blueprinting auf der CCC-Konferenz vor.

Dass die Angriffe mit einem Notebook, einer modifizierten Bluetooth-Steckkarte und einer ordentlichen Antenne auch noch aus über 100 Metern Entfernung möglich sind, bewiesen Herfurt und das Team bereits. Mit der Handy-Software "Blooover" zeigt trifinite nun, dass Bluetooth-Angriffe auch mit weniger Aufwand und weniger auffällig direkt in der Nähe anderer Handy-Nutzer möglich sind. Der Name Blooover wurde deshalb gewählt, weil das Handy damit zum tragbaren Bluetooth-Datensauger wird, in Anlehnung an Hoover-Staubsager.