• IT-Karriere:
  • Services:

App-Hilfe: NoTelURL für Android verhindert Attacke durch USSD-Code

Mit der kostenlosen Android-App NoTelURL wird das Ausführen von USSD-Kommandos blockiert. Damit können Angreifer das Sicherheitsloch in einigen Android-Smartphones von Samsung nicht mehr ausnutzen.

Artikel veröffentlicht am ,
NoTelURL fängt Tel-URLs ab.
NoTelURL fängt Tel-URLs ab. (Bild: Jörg Voss)

Innerhalb weniger Stunden nach Bekanntwerden der Sicherheitslücke in etlichen Galaxy-Smartphones von Samsung hat der Entwickler Jörg Voss eine Anwendung entwickelt, um einen Angriff per USSD-Code abzuwehren. NoTelURL ist im Play Store kostenlos zu bekommen. Nach der Installation fängt sie alle Tel-URLs ab.

Stellenmarkt
  1. BET3000 Deutschland Management GmbH, München
  2. RSG Group GmbH, Berlin

Damit wird verhindert, dass USSD-Codes ohne Rückfrage des Nutzers ausgeführt werden. Bei allen Aufrufen einer Tel-URL erscheint ein Dialog, in dem festgelegt werden kann, ob sie mit NoTelURL oder mit der Telefon-App geöffnet werden soll. Wird die NoTelURL gewählt, werden die betreffenden Daten nicht an die Telefon-App weitergegeben. Wer NoTelURL in dem Dialog als Standard aufruft, braucht also keine Sorge mehr haben, dass USSD-Code ohne Rückfrage auf diesem Weg ausgeführt wird.

Komfortverlust durch NoTelURL

Das bedeutet allerdings einen Komfortverlust, denn nun ist es nicht mehr möglich, Telefonnummern in Webseiten bequem anzurufen. Wer NoTelURL hingegen nicht als Standard festlegt, kann selbst entscheiden, dass die Telefonnummer auf einer Webseite nun an die Telefon-App weitergereicht werden darf. Voss hatte nach eigener Aussage auf die Schnelle keine Möglichkeit gefunden, mit NoTelURL ausschließlich URLs abzuweisen, die USSD-Code enthalten, und sich daher für diese Art der Implementierung entschieden.

Der Sicherheitsexperte Ravi Borgaonkar hatte bemerkt, dass es für Galaxy-Smartphones einen USSD-Code gibt, mit dem sich alle Daten auf dem Android-Smartphone löschen lassen.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
  2. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

USSD ist ein Bestandteil des GSM-Protokolls und steht für Unstructured Supplementary Service Data. Darüber lassen sich Befehle über das Tastenfeld des Telefons ausführen. Sobald ein USSD-Code an die Telefon-App weitergegeben wurde, hat der Nutzer keine Chance, diesen Vorgang abzubrechen. Angreifer könnten den USSD-Code etwa in Webseiten einbinden. Wenn eine solche Webseite vom Besitzer eines Galaxy-Smartphones aufgerufen wird, werden ohne weitere Rückfrage alle Daten auf dem Gerät gelöscht.

Bisher gibt es von Samsung keine Details zu dem Sicherheitsleck. Es ist denkbar, dass auch Galaxy-Tablets von dem Problem betroffen sind. Mit dem erwarteten Update auf Android 4.1 alias Jelly Bean soll der Fehler auf dem Galaxy S3 beseitigt werden. Seine Ursache liegt aber wohl nicht im Android-Code, sondern in Samsungs Bedienoberfläche Touchwiz. Eine offizielle Stellungnahme dazu gibt es von Samsung noch nicht.

Nachtrag vom 28. September 2012

Neben der Anwendung NoTelURL hat G Data die Android-Anwendung USSD-Filter gratis im Play Store veröffentlicht. Im Unterschied zu NoTelURL analysiert die G-Data-Software die Tel-URLs und zeigt an, ob sie USSD-Code enthält. Aus der G-Data-Anwendung heraus kann dann eine Telefonnummer in die Telefonanwendung kopiert werden, um Rufnummern in Tel-URLs weiterhin anrufen zu können, so dass es nur einen minimalen Komfortverlust gibt.

Nachtrag vom 1. Oktober 2012, 8:11 Uhr

Jörg Voss hat NoTelURL aktualisiert und kann nun ebenfalls eine Rufnummer aus einer Tel-URL an die Telefonanwendung weiterleiten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote

zandro 27. Sep 2012

er unterstützt tel-URLs, allerdings ruft er diese nicht automatisch auf, wenn sie als...

tmc 27. Sep 2012

Das HTC Sensation mit Android 4.0.3 (T-Mobile Branding) ist auch betroffen.

thps 27. Sep 2012

auf dem Galaxy Note 10.1 wird nur die Telefonapp aufgerufen ....Auch Touchwize auf...

Himmerlarschund... 27. Sep 2012

Zumal es hier schon einige geben dürfte, für die diese News relevant ist. Golem als...


Folgen Sie uns
       


Outriders angespielt

Im Video stellt Golem.de das von People Can Fly entwickelte Actionspiel Outriders vor.

Outriders angespielt Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /