Android: Rootkits auf Kernel-Ebene möglich
Ein sogenanntes Kernel-Rootkit könnte als Modul in die Hardwareebene des Android-Betriebssystems eingeschleust werden. Da die einzelnen Prozesse des Rootkits nicht im virtuellen Dateisystem /proc auftauchen, bleiben sie auch beim Aufruf der Befehle ps und insmod verborgen. Das Rookit verwendet stattdessen Hooks, um mit den Funktionen des Betriebssystems zu kommunizieren.
Die Programmierer Christian Papathanasiou(öffnet im neuen Fenster) und Nicholas Percoco(öffnet im neuen Fenster), Angestellte bei der Firma Trustwave Spiderlabs(öffnet im neuen Fenster), kompilierten einen neuen Kernel samt Modul, um Systemaufrufe abzufangen und die Message-Datei Dmesg auf Befehle zu analysieren. Sie konnten sich mittels einer Reverse-Shell über TCP(öffnet im neuen Fenster) mit dem Gerät verbinden.
Die Entwickler demonstrierten auf der diesjährigen Defcon 18(öffnet im neuen Fenster), wie Anrufe von einem modifizierten Gerät umgeleitet werden können. Zusätzlich griffen sie auf das GPS-Modul über /dev/smd27 zu.
Für die Demonstration mussten die Programmierer physisch auf das Gerät zugreifen, um das Rootkit zu platzieren. Es könnte aber auch über andere Schwachstellen eingeschleust werden. Denkbar wäre auch, dass solche Module willentlich eingebaut werden. Dem Benutzer bleibt ein solches Rootkit verborgen, lediglich ein Leistungsverlust könnte auf die Spyware hinweisen. Zudem kann sich der Anwender auch nicht gegen solche Angriffe wehren. Einzig die Hersteller könnten durch ein Signieren von Treibern ein mögliches Infiltrieren verhindern.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.