Flash SMS waren in der Anfangszeit des GSM-Standards populär: sie erscheinen nach dem Erhalt sofort am Bildschirm und sind somit für Warnungen und Informationen über den Netzwerkzustand nützlich.
Aufgrund der immer geringer werdenden Nutzung testen die Hersteller ihre Implementierungen nur sehr marginal. Der Sicherheitsexperte Bogdan Alecu fand nun eine Schwäche in der Software von Google, die das Neustarten des Telefons erlaubt:
Das Google Nexus 4 lässt sich per Flash SMS “außer Gefecht setzen”
Der Angriff beginnt durch den Versand einer größeren Menge – in Presseberichten ist meist von rund 30 Stück die Rede – von Flash SMS. Im Normalfall bootet das Telefon daraufhin neu und verlangt die PIN: die Verbindung zum Netzwerk wird allerdings erst nach einem weiteren Reboot wiederhergestellt. Das ist insofern bösartig, als das Telefon nach dem Eingeben der PIN “lebendig erscheint”, aber nicht mehr ansprechbar ist.
In seltenen Fällen verliert das Telefon die Verbindung zu den Datendiensten: Anrufe kommen in diesem Fall zwar noch an; GottaTxt, WhatsApp und Skype sind dann allerdings “off”. In diesem Fall lässt sich die Funktion durch einen einfachen Reboot wiederherstellen.
Amüsanterweise scheint das Problem auf die Telefone von Google beschränkt zu sein. Alecu behauptet, eine Gruppe von Telefonen von anderen Herstellern untersucht zu haben: der Fehler trat bei ihnen – unabhängig von der installierten Android-Version – nicht auf. Aus diesem Blickwinkel betrachtet ist es nicht unwahrscheinlich, dass der Fehler im Homescreen von Google steckt: wenn dies der Fall wäre, so wären die im Play Store erhältlichen “developer editions” von HTC one und Galaxy S4 ebenfalls verwundbar.
Alecu hat Google im letzten Jahr mehrfach kontaktiert, um den Fehler zu melden (responsible disclosure). Da Google ihn keiner wirklichen Antwort würdig erachtete, geht der Exploit nun an die Öffentlichkeit. Diese sehr verantwortungsvolle Vorgehensweise ist im Einklang mit den diversen Richtlinien der Computersicherheitsszene; das Nicht-Reagieren auf Seiten von Google sollte dem Unternehmen zu denken geben. Immerhin wurde nach dem Bekanntwerden des Exploits ein Patch zugesagt.
Die praktische Gefährlichkeit dieses Angriffs wird formell als gering eingestuft – er nimmt den User zwar offline, erlaubt nach derzeitigem Wissensstand aber keinen Zugriff auf die am Telefon befindlichen Daten. Sicherheitsexperten klassifizieren die Attacke deshalb als unkritisches “denial of service”: wenn dein Kollege im Schlechtverdienerviertel Streitigkeiten austrägt und keine Verstärkung herbeirufen kann, sieht die Lage naturgemäß anders aus.
Falls du ein Nexus-Handy hast und bei deinen Mitmenschen unbeliebt bist, so solltest du die von SilentServices angebotene Class0Firewall installieren. Dieses bei Google Play kostenlos herunterladbare Programm verspricht, eingehende Angriffs-SMS zu blockieren und ihre Absender zu “benennen”.
Hattest du mit deinem Nexus-Smartphone Probleme, die auf diese Sicherheitslücke hinweisen? War bei dir bisher “alles in Butter”? Eure Erlebnisse interessieren uns – bitte hinterlasst ein Kommentar…
Quelle: AndroidAuthority
