Kritische Android-Lücke: Schädliche Apps geben sich als legitime Anwendungen aus

Der Sicherheitsanbieter Promon warnt vor einem Nachfolger der StrandHogg-Anfälligkeit. Die Version 2.0 bietet eine größere Angriffsfläche. Sie steckt allerdings nicht in Android 10.

Der norwegische Sicherheitsanbieter Promon hat eine weitere kritische Schwachstelle in Googles Mobilbetriebssystem Android entdeckt. Sie erlaubt es, eine Schadsoftware als legitime App auszugeben. Aufgrund der Gemeinsamkeiten mit dem im Dezember 2019 öffentlich gemachten Bug namens StrandHogg wurde die neue Anfälligkeit auf den Namen StrandHogg 2.0 getauft.

Die Sicherheitslücke mit der Kennung CVE-2020-0096 erlaubt es, ähnlich wie StrandHogg 1.0, die Identität von legitimen Android-Anwendung zu übernehmen. StrandHogg 2.0 stufen die Forscher jedoch als schwerwiegender ein, weil die neue Lücke eine breitere Angriffsfläche bietet und Attacken schwerer zu erkennen sind.

Im Gegensatz zur Version 1.0 hinterlässt die neue Version beim Missbrauch der Multitasking-Funktion von Android keine Spuren. Ein Opfer, dass auf das Symbol einer legitimen App klickt, löst eine Rückfrage zu einer App-Berechtigung aus. Es sieht zwar so aus, als käme die Rückfrage von besagter legitimer App, die Berechtigung wird jedoch für die schädliche App erteilt. Danach startet wie vom Nutzer erwartet die legitime App – während der Angreifer nun im Hintergrund die Kontrolle über das Android-Gerät übernehmen kann.

Darüber hinaus soll die neue Lücke auch mehrere simultane Angriffe erlauben. Zudem benötige StrandHogg 2.0, wie schon der Vorgänger, keinen Root-Zugriff. Aufgrund der Code-basierten Ausführung der Malware sei sie auch schlechter zu erkennen. Eine externe Konfiguration werde nicht mehr benötigt. Als Folge erscheine der Code der schädlichen App beispielsweise gegenüber den Kontrollen von Google Play als unverdächtig.

StrandHogg 2.0 gibt Angreifern unter Umständen Zugriff auf SMS, Fotos und Anmeldedaten. Auch Standortdaten lassen sich den Forschern zufolge abgreifen. Darüber hinaus soll es möglich sein, Telefonate zu führen und aufzuzeichnen sowie Kamera und Mikrofon eines Smartphones zu aktivieren. Da die Malware sich auch als Banking-App ausgeben kann, sind auch Zugangsdaten für Online-Banking in Gefahr.

Allerdings beschränkt sich die zugrundeliegende Sicherheitslücke auf Android 9 und früher – Android 10 ist nicht betroffen. Promon weist aber darauf hin, dass laut Daten von Google im April noch 91,8 Prozent aller Android-Geräte die OS-Version 9 oder früher nutzten.

„Wir betrachten StrandHogg 2.0 als den bösen Zwilling von StrandHogg“, sagte Tom Lysemose Hansen, CTO von Promon. „Angreifer, die StrandHogg 2.0 ausnutzen wollen, sind sich wahrscheinlich bereits der ursprünglichen StrandHogg-Schwachstelle bewusst, und die Sorge ist, dass es, wenn es zusammen verwendet wird, zu einem mächtigen Angriffswerkzeug für böswillige Akteure wird. Android-Benutzer sollten ihre Geräte so schnell wie möglich auf die neueste Firmware aktualisieren, um sich vor Angriffen zu schützen, die StrandHogg 2.0 ausnutzen.“