Informationen über eine Sicherheitslücke in praktisch allen aktiven Versionen von Android wurden kürzlich bekanntgegeben. Die Lücke betrifft eine Systembibliothek namens Stagefright, die dazu benutzt wird, Videos in MMS-Nachrichten zu rendern. Bei manchen Systemen und auf diese Bibliothek zugreifenden Apps reicht der Empfang einer MMS mit Video und eingebettetem Schadcode, um die Infektion auszulösen, die umfassende Möglichkeiten zum Missbrauch bietet.
Update: Leider ist nach neueren informationen nicht nur das MMS-System betroffen, sondern es gibt auch andere mögliche Infektionswege, z.B. über infizierte Webseiten. Demnach bleibt nur zu hoffen, dass die Handyhersteller möglichst bald und umfassend Updates liefern, und zwar auch für ältere und günstigere Geräte. Anderenfalls kann Sicherheit nur wiederhergestellt werden, indem auf ein anderes System wie Cyanogen Mod umgestellt wird.
Stagefright: Wirklich eine Bedrohung für alle?
Im schlimmsten Fall ermöglicht die Sicherheitslücke administrativen Vollzugriff auf das Gerät. Allerdings ist die Situation nur auf den ersten Blick schreckenerregend. Einige Punkte sprechen gegen eine flächendeckende Gefährdung, wie sie hier und da prognostiziert wird:
- Da die Infektion über ein Video in einer MMS (Multimedia-SMS) erfolgen muss, sind keine Geräte angreifbar, die mangels SIM-Karte und Telefonnummer gar keine MMS empfangen können, also z.B. WLAN-Tablets.
- Da eine MMS an eine Telefonnummer versendet werden muss und dabei für den Absender kostenpflichtig ist, sind zwar gezielte Angriffe möglich, wohl kaum aber flächendeckende nach Art von Spam. Der Angreifer muss die Telefonnummer kennen.
- Nicht jede Version von Android ist in gleichem Umfang angreifbar, auch nicht jede App verarbeitet die MMS auf gleiche Weise, so dass ein Angreifer sich nicht auf das Gelingen des Angriffs verlassen kann.
- Die Manipulation eines Videos zur Ausnutzung der Lücke dürfte nicht gerade trivial sein.
Dieser Artikel ist nicht mehr auf dem neuesten Stand, lesen Sie anschließend weiter: Stagefright erzwingt Umdenken bei Android-Updates
Schutz vor dem Stagefright-Angriff
Leider ist es so, dass Google zwar bereits einen Patch an die Handy-Hersteller ausgeliefert hat, aber mit Updates für Android ist es bekanntlich so eine Sache: nur wenige Hersteller bieten Updates für ihre Geräte, und je älter das Gerät, desto unwahrscheinlicher ist ein Update.
Aber es gibt eine einfache Lösung. Haben Sie im Zeitalter von Whatsapp und Konsorten eigentlich jemals MMS versendet oder empfangen? Eigentlich handelt es sich hierbei um eine unnötige, veraltete Funktionalität, die sogar Zusatzkosten verursacht, wenn man sie nutzt. Warum also nicht einfach abschalten?
Das ist zum Glück gar nicht schwierig. Der Weg dahin ist zwar auf unterschiedlichen Android-Versionen und -Geräten nicht identisch, aber ähnlich.
Öffnen Sie dazu die Einstellungen Ihres Gerätes und darin den Punkt, der für Netzwerke und Drahtlos-Übertragung zuständig ist. Darin sollte es einen Menüpunkt für Mobilfunknetze geben. Darin wiederum gibt es Einstellungen für APNs (Access Point Names, Zugangspunkte zum Mobilnetz). Da MMS nicht über die normale Internet-Verbindung versendet werden, benutzen sie einen eigenen Zugangspunkt. Bei E-Plus und dessen Resellern gibt es zum Beispiel einen APN internet.eplus.de und einen zweiten namens mms.eplus.de. Der zweite ist, wie die APN-Bezeichnung schon zeigt, für MMS zuständig.
Öffnen Sie diesen APN und ändern Sie den APN, indem Sie zum Beispiel ein Ausrufezeichen in die Bezeichnung setzen. So wird aus der APN mms.eplus.de dann mms.eplus!.de.
Achten Sie darauf, dass Sie die Einstellung „APN“ ändern, nicht nur den frei wählbaren Namen des Zugangspunktes, das hätte keine Wirkung!
Alternativ können Sie diesen APN auch einfach vollständig löschen, wenn Sie dann aber doch einmal eine MMS versenden oder empfangen wollen, müssen Sie dazu den APN manuell wiederherstellen. Der SMS-Gebrauch wird durch die Deaktivierung des MMS-APN nicht beeinträchtigt.