App-Hilfe NoTelURL für Android verhindert Attacke durch USSD-Code

Mit der kostenlosen Android-App NoTelURL wird das Ausführen von USSD-Kommandos blockiert. Damit können Angreifer das Sicherheitsloch in einigen Android-Smartphones von Samsung nicht mehr ausnutzen.

Innerhalb weniger Stunden nach Bekanntwerden der Sicherheitslücke in etlichen Galaxy-Smartphones von Samsung hat der Entwickler Jörg Voss eine Anwendung entwickelt, um einen Angriff per USSD-Code abzuwehren. NoTelURL ist im Play Store kostenlos zu bekommen. Nach der Installation fängt sie alle Tel-URLs ab.

Damit wird verhindert, dass USSD-Codes ohne Rückfrage des Nutzers ausgeführt werden. Bei allen Aufrufen einer Tel-URL erscheint ein Dialog, in dem festgelegt werden kann, ob sie mit NoTelURL oder mit der Telefon-App geöffnet werden soll. Wird die NoTelURL gewählt, werden die betreffenden Daten nicht an die Telefon-App weitergegeben. Wer NoTelURL in dem Dialog als Standard aufruft, braucht also keine Sorge mehr haben, dass USSD-Code ohne Rückfrage auf diesem Weg ausgeführt wird.

Komfortverlust durch NoTelURL

Das bedeutet allerdings einen Komfortverlust, denn nun ist es nicht mehr möglich, Telefonnummern in Webseiten bequem anzurufen. Wer NoTelURL hingegen nicht als Standard festlegt, kann selbst entscheiden, dass die Telefonnummer auf einer Webseite nun an die Telefon-App weitergereicht werden darf. Voss hatte nach eigener Aussage auf die Schnelle keine Möglichkeit gefunden, mit NoTelURL ausschließlich URLs abzuweisen, die USSD-Code enthalten, und sich daher für diese Art der Implementierung entschieden.

Der Sicherheitsexperte Ravi Borgaonkar hatte bemerkt, dass es für Galaxy-Smartphones einen USSD-Code gibt, mit dem sich alle Daten auf dem Android-Smartphone löschen lassen.

USSD ist ein Bestandteil des GSM-Protokolls und steht für Unstructured Supplementary Service Data. Darüber lassen sich Befehle über das Tastenfeld des Telefons ausführen. Sobald ein USSD-Code an die Telefon-App weitergegeben wurde, hat der Nutzer keine Chance, diesen Vorgang abzubrechen. Angreifer könnten den USSD-Code etwa in Webseiten einbinden. Wenn eine solche Webseite vom Besitzer eines Galaxy-Smartphones aufgerufen wird, werden ohne weitere Rückfrage alle Daten auf dem Gerät gelöscht.

Bisher gibt es von Samsung keine Details zu dem Sicherheitsleck. Es ist denkbar, dass auch Galaxy-Tablets von dem Problem betroffen sind. Mit dem erwarteten Update auf Android 4.1 alias Jelly Bean soll der Fehler auf dem Galaxy S3 beseitigt werden. Seine Ursache liegt aber wohl nicht im Android-Code, sondern in Samsungs Bedienoberfläche Touchwiz. Eine offizielle Stellungnahme dazu gibt es von Samsung noch nicht.

Nachtrag vom 28. September 2012

Neben der Anwendung NoTelURL hat G Data die Android-Anwendung USSD-Filter gratis im Play Store veröffentlicht. Im Unterschied zu NoTelURL analysiert die G-Data-Software die Tel-URLs und zeigt an, ob sie USSD-Code enthält. Aus der G-Data-Anwendung heraus kann dann eine Telefonnummer in die Telefonanwendung kopiert werden, um Rufnummern in Tel-URLs weiterhin anrufen zu können, so dass es nur einen minimalen Komfortverlust gibt.