von Michael-Alexander Beisecker, veröffentlicht in Sicherheit
Warnung vor einem USSD-Schadcode durch G Data USSD Filter
Die USSD-Sicherheitslücke wurde zuerst auf einem Samsung-Smartphone demonstriert und der TouchWiz-Oberfläche von Samsung zugeschrieben. Es sollten daher nur bestimmte Samsung-Smartphones betroffen sein. Doch dann wurde die Sicherheitslücke auch bei Smartphones von HTC und Motorola festgestellt.
Hinweis: Bei USSD oder Unstructered Supplementary Service Data handelt es sich um einen Übermittlungsdienst für GSM-Netze, wobei die Dienste auf einem Mobiltelefon über einen Code abgerufen werden. Sie bekommen beispielsweise durch die Eingabe von *#06# statt einer Telefonnummer auf dem Display Ihres Smartphones dessen IMEI angezeigt, das ist die 15-stellige Seriennummer Ihres Mobiltelefons.
Nach aktuellem Wissensstand ist die USSD-Sicherheitslücke in Android bis zur Version 4.0 vorhanden. Potenziell gefährdet sind also alle Smartphones und Tablets mit diesen Android-Versionen, sofern sie eine SIM-Karte enthalten bzw. ein 3G/UMTS-Zugang zum Internet möglich ist:
Mit Version 4.1.1 vom Juli 2012 hat Google das Wählprogramm von Android (Dialer) geändert, so dass es USSD-Codes nicht mehr automatisch ausführt. Diese als Jelly Bean bezeichnete sichere Android-Version läuft jedoch nur auf schätzungsweise jedem hundertsten Android-Gerät, also sind rund 99 Prozent aller Android-Smartphones und nahezu alle Tablets mit 3G/UMTS-Zugang durch USSD-Schadcode gefährdet.
Die erste Demonstration der Sicherheitslücke erfolgte mit Hilfe einer SMS, doch ein gefährlicher USSD-Code kann auch noch auf anderen Wegen auf Ihr Android-Smartphone oder -Tablet gelangen:
Der Heise-Verlag hat eine Testseite für die USSD-Sicherheitslücke eingerichtet. Scannen Sie den QR-Code auf dieser Seite, kann folgendes passieren:
Sie brauchen keine Angst vor diesem Test zu haben, denn der eingebettete USSD-Code ist harmlos. Laut Angabe von Heise ist in einem Frame der Webseite "tel:*%2306%23" eingebettet, das entspricht dem USSD-Code *#06# in HTML, denn hier ist %23 gleich der Raute (#).
Hinweis: Sie brauchen keine Angst vor der USSD-Gefahr zu haben, wenn Sie ein Apple iPhone oder iPad besitzen, denn Geräte mit iOS sind von dieser Sicherheitslücke nicht betroffen. Hier sollten Sie aus Sicherheitsgründen jedoch iOS 6 installiert haben (siehe Artikel zu Sicherheitslücken in iOS). Auch bei Smartphones mit WindowsPhone besteht die Gefahr nicht und wahrscheinlich ebenfalls nicht beim neuen Windows RT, der ARM-Version von Windows 8.
Derzeit kann lediglich ein Update auf das aktuelle Android 4.1.1 Jelly Bean oder eine spätere Version die USSD-Sicherheitslücke schließen. Es ist zu erwarten, dass die Smartphone- und Tablet-Hersteller ihre Android-Versionen zumindest für die aktuellen Geräte aus diesem Jahr patchen und dafür Updates bereitstellen.
Fragen Sie beim Support Ihres Smartphone- oder Tablet-Herstellers nach oder bei Ihrem Mobilfunkanbieter, wenn Sie Ihr Android-Gerät zusammen mit einem Mobilfunkvertrag erworben haben.
Tragen Sie Ihre Erfahrungen mit dem Hersteller Ihres Smartphones oder Tablets bzw. Ihrem Mobilfunkprovider bitte unter diesem Artikel als Kommentar ein, das kann anderen Android-Nutzern helfen und wir erhalten hier so einen Überblick, was an Patches angeboten wird - und welche Hersteller oder Mobilfunkprovider sich um die Sicherheitslücke kümmern und welche nicht!
Bis das aktuelle Android oder ein USSD-Sicherheitsupdate für Ihr Smartphone oder Tablet verfügbar ist, können Sie sich mit einer App schützen, die ein Ausführen des gefährlichen USSD-Codes verhindert. Die haben die Auswahl zwischen diesen drei USSD-Schutzprogrammen:
Der Börsendienst, der Ihr Vermögen zuverlässig schützt und Ihnen zeigt, wie Sie auch in schlechten...
Damit Sie als Führungskraft souverän handeln und planvoll Ihre Ziele erreichen. In nur 15 Minuten...
Damit die finanzielle Zukunft Ihres Vereins gesichert ist!In diesem praktischen Ratgeber erhalten...
