• IT-Karriere:
  • Services:

Sicherheitsgefahr: Angreifer können Daten auf Galaxy-Smartphones löschen

In zahlreichen Galaxy-Smartphones von Samsung ist ein Sicherheitsloch entdeckt worden, über das Angreifer alle Daten auf dem Android-Gerät löschen können. Dazu muss der Angreifer nur einen bestimmten USSD-Code per Webseite oder WAP-Push auf das Gerät schicken.

Artikel veröffentlicht am ,
Sicherheitsloch im Galaxy S3
Sicherheitsloch im Galaxy S3 (Bild: Samsung)

Mit einem in einer Webseite eingebetteten USSD-Code können alle Daten unter anderem auf einem Galaxy S3 von Samsung komplett gelöscht werden. Es erfolgt keine Rückfrage und der Nutzer ist machtlos, nachdem das Kommando auf dem Smartphone ausgeführt wurde. Auf der achten Ekoparty-Sicherheitskonferenz in Buenos Aires hat Ravi Borgaonkar das demonstriert. Borgaonkar arbeitet als Sicherheitsforscher bei der TU Berlin.

Stellenmarkt
  1. ZytoService Deutschland GmbH, Hamburg
  2. Mafu Systemtechnik GmbH, Rosenfeld

USSD-Code ist ein Bestandteil des GSM-Protokolls und steht für Unstructured Supplementary Service Data. Darüber lassen sich Befehle über das Tastenfeld des Telefons ausführen. Nun entdeckte Borgaonkar, dass es für Android-Smartphones von Samsung den USSD-Code *2767*3855# gibt, mit dem sich das Mobiltelefon in den Werkszustand bringen lässt. Dabei werden alle Daten auf dem Mobiltelefon gelöscht.

Sobald der USSD-Code an die Telefon-App weitergegeben wurde, hat der Nutzer keine Chance, diesen Vorgang abzubrechen. Angreifer könnten den USSD-Code etwa in Webseiten einbinden, und wenn eine solche Webseite vom Besitzer eines Galaxy-Smartphones aufgerufen wird, werden ohne weitere Rückfrage alle Daten auf dem Gerät gelöscht.

Galaxy-Tablets mit Mobilfunkmodem möglicherweise auch betroffen

Als weitere Angriffsmöglichkeit ist WAP-Push möglich, indem jemand eine speziell präparierte SMS an ein Galaxy-Smartphone sendet. In den Einstellungen der Nachrichtenanwendung kann der WAP-Push deaktiviert werden, um eine solche Attacke abzuwehren. Nach Recherchen von Slashgear funktioniert der USSD-Code außer auf dem Galaxy S3 auch auf den Samsung-Modellen Galaxy S2, Galaxy Beam, Galaxy S Advance und Galaxy Ace. Es ist davon auszugehen, dass noch weitere Galaxy-Modelle davon betroffen sind. Auch Tablets mit integriertem Mobilfunkmodem könnten davon betroffen sein.

Mit dem erwarteten Update auf Android 4.1 alias Jelly Bean soll dieser Fehler auf dem Galaxy S3 beseitigt werden. Die Ursache des Fehlers liegt aber wohl nicht im Android-Code, sondern in Samsungs Bedienoberfläche Touchwiz. Eine offizielle Stellungnahme dazu gibt es von Samsung noch nicht.

Nachtrag vom 26. September 2012, 11:53 Uhr

Der Entwickler Jörg Voss hat die kostenlose Android-App NoTelURL im Play Store veröffentlicht, mit der sich Nutzer vor solchen USSD-Attacken schützen können. Nähere Infos dazu liefert der dazugehörige Artikel auf Golem.de.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de

SoniX 28. Sep 2012

Entschuldige bitte meinen harschen Ton. Es ist nur manchmal zum Verzweifeln hier. :)

Anonymer Nutzer 27. Sep 2012

@GolemForumsDurchsucher: Sind Artikelupdates für sowas nicht vorgesehen?

nomuc 26. Sep 2012

Diese ganzen Codes sind seit langem bekannt. Hier ein Forumeintrag vom 7. Februar 2012...

Nebucatnetzer 26. Sep 2012

Ach für das gibts dann Cerberus.

fratze123 26. Sep 2012

Funktioniert bei mir nur, wenn ich es selber eingebe. Das per "tel:" an den Dialer...


Folgen Sie uns
       


Die Evolution des Microsoft Flugsimulator (1982-2020)

Die Entwicklung des Flugsimulator zeigt die beeindruckenden Fortschritte der Spielegrafik in den letzten Jahrzehnten.

Die Evolution des Microsoft Flugsimulator (1982-2020) Video aufrufen
Ryzen 7 Mobile 4700U im Test: Der bessere Ultrabook-i7
Ryzen 7 Mobile 4700U im Test
Der bessere Ultrabook-i7

Wir testen AMDs Ryzen-Renoir mit 10 bis 35 Watt sowie mit DDR4-3200 und LPDDR4X-4266. Die Benchmark-Resultate sind beeindruckend.
Ein Test von Marc Sauter

  1. Renoir Asrock baut 1,92-Liter-Mini-PC für neue AMD-CPUs
  2. Arlt-Komplett-PC ausprobiert Mit Ryzen Pro wird der Büro-PC sparsam und flott
  3. Ryzen 4000G (Renoir) AMD bringt achtkernige Desktop-APUs mit Grafikeinheit

Sysadmin Day 2020: Du kannst doch Computer ...
Sysadmin Day 2020
Du kannst doch Computer ...

Das mit den Computern könne er vergessen, sagte ihm das Arbeitsamt nach dem Schulabschluss. Am Ende wurde Michael Fischer aber doch noch Sysadmin, zur allerbesten Sysadmin-Zeit.
Ein Porträt von Boris Mayer


    Golem on Edge: Wo Nachbarn alles teilen - auch das Internet
    Golem on Edge
    Wo Nachbarn alles teilen - auch das Internet

    Mehr schlecht als recht arbeiten zu können und auch nur dann, wenn die Nachbarn nicht telefonieren - das war keine Dauerlösung. Wie ich endlich Internet in meine Datsche bekommen habe.
    Eine Kolumne von Sebastian Grüner

    1. Digitalisierung Krankschreibung per Videosprechstunde wird möglich
    2. Golem on Edge Homeoffice im Horrorland
    3. Anzeige Die voll digitalisierte Kaserne der Zukunft

      •  /