Android Sicherheitslücke: Stagefright zieht neue Trojaner mit sich

Vor rund einer Woche haben wir über eine Sicherheitslücke im Android-Betriebssystem berichtet und auf den entsprechenden Trojaner namens Stagefright aufmerksam gemacht. Diese Meldung finden Sie hinter diesem Link. Nun gibt es neue Ereignisse in dieser Richtung – und eine neue Bedrohung, die auf Stagefright aufbaut.

Google und Geräte-Hersteller in der Pflicht

Sowohl Google als Herausgeber des Android-Betriebssystems als auch die Hersteller von Android-Smartphones müssen nun dafür sorgen, dass vermittels Updates und Patches die Software geflickt wird. Die angesprochene Sicherheitslücke, um die es geht, muss geschlossen werden, damit Smartphones und ähnliche Geräte nicht zu Werkzeugen der Überwachung werden.

Google weiß schon seit April von der Sicherheitslücke. Seit Juli macht nun der entsprechende Trojaner die Runde. Eigentlich müssten Patches längst erhältlich sein. Und genau an diesem Punkt setzt ein neues Betrugssystem an.

Angebliche Google-Mail sorgt für noch mehr Ärger

In einer angeblich von Google stammenden Mail werden Nutzer von Google-Konten über eine vermeintlichen Fremdzugriff aufgeklärt. Dieser solle von Russland aus geschehen und eine Folge der Stagefright-Sicherheitslücke sein. Betroffen von diesen Fremdzugriffen seien laut der Mail Android-Systeme von 2.2 bis 5.1, womit sich so ziemlich alle Empfänger angesprochen fühlen sollten.

In der Mail wird dann auch gleich die Lösung für das Problem aufgeführt: die Installation eines Sicherheitsupdates. Dieses wird, zumindest in einer Mail, die heise.de vorliegt und vom Center for IT-Security, Privacy, and Accountability (CISPA) der Uni Saarland zur Verfügung gestellt wurde, mit CVE-2015-1538 bezeichnet.

Die APK bringt DroidJack aufs System

Die APK, welche installiert werden soll und laut der vorliegenden Mail den Namen CVE-2015-1538.apk trägt, bringt kein Sicherheitsupdate. Vielmehr soll sie den käuflich erwerbbaren Trojaner DroidJack auf das System laden. Das auf droidjack.net für 210 Dollar erwerbbare Programm lässt den Nutzer das Zielgerät so verwenden, wie wir es bereits in der Meldung von vor fast einer Woche berichtet haben.

Das heißt, neben dem Auslesen von Daten ist auch eine Steuerung des Smartphones möglich. Die Mikrofone des Geräts können zum Abhören und die Kameras zum Ausspähen genutzt werden. SMS und andere Nachrichten können vom Anwender der Schadsoftware nicht nur gelesen, sondern auch versendet werden. Etc. etc.