App-Hilfe: NoTelURL für Android verhindert Attacke durch USSD-Code

Mit der kostenlosen Android-App NoTelURL wird das Ausführen von USSD-Kommandos blockiert. Damit können Angreifer das Sicherheitsloch in einigen Android-Smartphones von Samsung nicht mehr ausnutzen.

Artikel veröffentlicht am ,
NoTelURL fängt Tel-URLs ab.
NoTelURL fängt Tel-URLs ab. (Bild: Jörg Voss)

Innerhalb weniger Stunden nach Bekanntwerden der Sicherheitslücke in etlichen Galaxy-Smartphones von Samsung hat der Entwickler Jörg Voss eine Anwendung entwickelt, um einen Angriff per USSD-Code abzuwehren. NoTelURL ist im Play Store kostenlos zu bekommen. Nach der Installation fängt sie alle Tel-URLs ab.

Stellenmarkt
  1. IT-Projektleitung (m/w/d) im Finanzbereich der Kämmerei
    Stadt Köln, Köln
  2. IT-Administrator Middleware & Betriebstools (w/m/d)
    Dataport, verschiedene Standorte
Detailsuche

Damit wird verhindert, dass USSD-Codes ohne Rückfrage des Nutzers ausgeführt werden. Bei allen Aufrufen einer Tel-URL erscheint ein Dialog, in dem festgelegt werden kann, ob sie mit NoTelURL oder mit der Telefon-App geöffnet werden soll. Wird die NoTelURL gewählt, werden die betreffenden Daten nicht an die Telefon-App weitergegeben. Wer NoTelURL in dem Dialog als Standard aufruft, braucht also keine Sorge mehr haben, dass USSD-Code ohne Rückfrage auf diesem Weg ausgeführt wird.

Komfortverlust durch NoTelURL

Das bedeutet allerdings einen Komfortverlust, denn nun ist es nicht mehr möglich, Telefonnummern in Webseiten bequem anzurufen. Wer NoTelURL hingegen nicht als Standard festlegt, kann selbst entscheiden, dass die Telefonnummer auf einer Webseite nun an die Telefon-App weitergereicht werden darf. Voss hatte nach eigener Aussage auf die Schnelle keine Möglichkeit gefunden, mit NoTelURL ausschließlich URLs abzuweisen, die USSD-Code enthalten, und sich daher für diese Art der Implementierung entschieden.

Der Sicherheitsexperte Ravi Borgaonkar hatte bemerkt, dass es für Galaxy-Smartphones einen USSD-Code gibt, mit dem sich alle Daten auf dem Android-Smartphone löschen lassen.

Golem Karrierewelt
  1. Jira für Anwender: virtueller Ein-Tages-Workshop
    29.09.2022, virtuell
  2. DP-203 Data Engineering on Microsoft Azure virtueller Vier-Tage-Workshop
    12.-15.09.2022, virtuell
Weitere IT-Trainings

USSD ist ein Bestandteil des GSM-Protokolls und steht für Unstructured Supplementary Service Data. Darüber lassen sich Befehle über das Tastenfeld des Telefons ausführen. Sobald ein USSD-Code an die Telefon-App weitergegeben wurde, hat der Nutzer keine Chance, diesen Vorgang abzubrechen. Angreifer könnten den USSD-Code etwa in Webseiten einbinden. Wenn eine solche Webseite vom Besitzer eines Galaxy-Smartphones aufgerufen wird, werden ohne weitere Rückfrage alle Daten auf dem Gerät gelöscht.

Bisher gibt es von Samsung keine Details zu dem Sicherheitsleck. Es ist denkbar, dass auch Galaxy-Tablets von dem Problem betroffen sind. Mit dem erwarteten Update auf Android 4.1 alias Jelly Bean soll der Fehler auf dem Galaxy S3 beseitigt werden. Seine Ursache liegt aber wohl nicht im Android-Code, sondern in Samsungs Bedienoberfläche Touchwiz. Eine offizielle Stellungnahme dazu gibt es von Samsung noch nicht.

Nachtrag vom 28. September 2012

Neben der Anwendung NoTelURL hat G Data die Android-Anwendung USSD-Filter gratis im Play Store veröffentlicht. Im Unterschied zu NoTelURL analysiert die G-Data-Software die Tel-URLs und zeigt an, ob sie USSD-Code enthält. Aus der G-Data-Anwendung heraus kann dann eine Telefonnummer in die Telefonanwendung kopiert werden, um Rufnummern in Tel-URLs weiterhin anrufen zu können, so dass es nur einen minimalen Komfortverlust gibt.

Nachtrag vom 1. Oktober 2012, 8:11 Uhr

Jörg Voss hat NoTelURL aktualisiert und kann nun ebenfalls eine Rufnummer aus einer Tel-URL an die Telefonanwendung weiterleiten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


zandro 27. Sep 2012

er unterstützt tel-URLs, allerdings ruft er diese nicht automatisch auf, wenn sie als...

tmc 27. Sep 2012

Das HTC Sensation mit Android 4.0.3 (T-Mobile Branding) ist auch betroffen.

thps 27. Sep 2012

auf dem Galaxy Note 10.1 wird nur die Telefonapp aufgerufen ....Auch Touchwize auf...

Himmerlarschund... 27. Sep 2012

Zumal es hier schon einige geben dürfte, für die diese News relevant ist. Golem als...



Aktuell auf der Startseite von Golem.de
Lennart Poettering
Systemd-Gründer wechselt offenbar zu Microsoft

Der einflussreiche Entwickler Lennart Poettering hat offenbar den Linux-Distributor Red Hat verlassen und wechselt zur Konkurrenz.

Lennart Poettering: Systemd-Gründer wechselt offenbar zu Microsoft
Artikel
  1. Thinkpad E14 Gen4 im Test: Laptop mit tollem Preis-Leistungs-Verhältnis
    Thinkpad E14 Gen4 im Test
    Laptop mit tollem Preis-Leistungs-Verhältnis

    Top für 900 Euro: Das Thinkpad E14 Gen4 mit Alder Lake ist flott, aufrüstbar und tippt sich exzellent. Nur beim Display steht Lenovo auf der Stelle.
    Ein Test von Marc Sauter

  2. Weltraumtourismus: Virgin Galactic lässt neues Transportflugzeug entwickeln
    Weltraumtourismus
    Virgin Galactic lässt neues Transportflugzeug entwickeln

    In wenigen Jahren will Virgin Galactic 400 kommerzielle Raumflüge im Jahr durchführen. Dafür entwickelt eine Boeing-Tochter ein neues Trägerflugzeug.

  3. Zu geringer Abstand: Polizei sucht mit Drohne nach Verkehrssündern
    Zu geringer Abstand
    Polizei sucht mit Drohne nach Verkehrssündern

    Ein zu geringer Abstand auf der Autobahn ist eine häufige Unfallursache. In Brandenburg hat die Polizei Drängler mit einer Drohne gefilmt.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Red Friday: Mega-Rabatt-Aktion bei Media Markt • LG OLED TV 77" 120 Hz günstig wie nie: 2.399€ • Amazon-Geräte günstiger • AMD Ryzen 5 günstig wie nie: 125€ • EVGA RTX 3090 günstig wie nie: 1.649€ • MindStar (MSI 31,5“ 165Hz 369€) • Der beste 2.000€-Gaming-PC [Werbung]
    •  /