Schwere Sicherheitslücke in Samsung-Smartphones - Codezeile löscht alle Daten ohne Nachfrage (Update)

Auf der Sicherheitskonferenz Ekoparty 2012 in Argentinien präsentierte der Forscher Ravi Borgaonkar von der Technischen Universität Berlin die gefundene Sicherheitslücke. Sie tritt nach bisherigen Erkenntnissen auf Samsung-Smartphones auf, die die hauseigene TouchWiz-Oberfläche verwenden und damit auch ein anderes Wählprogramm einsetzen. Dieses Programm führt laut einem Artikel der International Business Times ohne Nachfrage sogenannte USSD-Codes (Unstructured Supplementary Service Data) aus, die beispielsweise zur Servicekonfiguration genutzt werden.

Mit dem Code *2767*3855# werden die betroffenen Smartphones auf die Werkseinstellungen zurückgesetzt und die vorhandenen Daten gelöscht. Dementsprechend präparierte Webseiten, NFC-Tags, QR-Codes oder sogar spezielle SMS-Nachrichten können ausreichen, um diesen Vorgang ohne Rückfrage auszulösen. Theoretisch kann sogar die SIM-Karte mit einem weiteren Code unbrauchbar gemacht werden.

Inzwischen gibt es verschiedene Berichte, nach denen das Problem wahrscheinlich unter Android 4.1 »Jelly Bean« nicht mehr auftritt. Auch das Samsung Galaxy Nexus, auf dem ein unverändertes Android-Betriebssystem läuft, ist nicht betroffen. Heise meldet, dass das Galaxy S2sowohl unter Android 4.0.3 als auch unter Android 2.3.6 für die Sicherheitslücke anfällig ist, während man die Lücke auf dem Galaxy S3nicht nachvollziehen konnte. Andere Berichte bestätigen hingegen das Problem auch auf diesem Gerät. Samsung untersucht die Sicherheitslücke bereits. Die Vorführung von Ravi Borgaonkar ist auf YouTube in kompletter Länge zu sehen.

Update:

Die unterschiedlichen Ergebnisse beim Galaxy S3 lassen sich dadurch erklären, dass Samsung die Sicherheitslücke bei der aktuellsten Firmware für das Gerät bereits behoben hat, aber anscheinend noch nicht alle Nutzer das Update aufgespielt haben. Samsung empfiehlt daher, ein Software-Update auszuführen. Allerdings gibt es noch keine Informationen darüber, wann andere betroffene Smartphones von Samsung ein Update erhalten.

Auch einige Modelle von HTC, Motorola und Huawei sollen einen ähnlichen Fehler aufweisen sein, allerdings sind hier keine Codes bekannt, die alle Daten löschen. Andere Funktionen könnten aber unter Umständen auch auf diesen Geräten ausgelöst werden. Inzwischen gibt es aber laut Heise auch eine App namens NoTelURL auf Google Play, die entsprechend präparierte Links abfangen und damit das Löschen der Daten oder andere ungewollte Aktionen durch USSD verhindern kann.

» Einkaufsführer: Smartphones