Sicherheitslücke bei Sony-Ericsson-Handys

Der Informatiker Adrian Nowak vom Technologie-Zentrum Informatik der Universität Bremen hat in seiner Diplomarbeit zum Thema ‚Sicherheit mobiler Endgeräte’ die Sicherheitslücken beschrieben. Diese sollen es einem Angreifer ermöglichen, den vollständigen Lese- und Schreibzugriff auf das interne Dateisystem dieser Mobiltelefone zu erlangen.

Dort befinden sich neben den Einstellungen für das Mobiltelefon auch persönliche Nachrichten (SMS, MMS, E-Mail) und sicherheitskritische Zertifikate. Wird solch ein Zertifikat ersetzt, kann ein Angreifer sich als Hersteller des Mobiltelefons ausgeben. So erhält er Zugriff auf alle geschützten Funktionen des Geräts. Er kann den Benutzer ausspionieren und ihm durch das unbemerkte Versenden von Premium-SMS und -MMS finanziellen Schaden zufügen.

Die Anfertigung von Ton- und Bildaufnahmen, das Auslesen von Adressbuch und Terminkalender sowie der persönlichen Nachrichten oder die Erstellung eines Bewegungsprofils des Benutzers stellen weitere Möglichkeiten des Missbrauchs dar.

Um ein Opfer dieser Sicherheitslücke zu werden, reicht es aus, sich Anwendungen oder Spiele auf das Mobiltelefon zu laden, in denen bösartige Anweisungen versteckt sind. Ist solch ein Trojaner erst einmal installiert, müssen nur noch zwei harmlos wirkende Sicherheitsmeldungen bestätigt werden, die sogar bei vertrauenswürdigen Anwendungen angezeigt werden. Für den Benutzer ist es somit unmöglich, zwischen bösartiger und ungefährlicher Software zu unterscheiden.

Von der Sicherheitslücke betroffen ist ein Großteil der Mobiltelefone von Sony Ericsson, die in den Jahren 2005 bis 2007 verkauft wurden. Der Gerätehersteller ist bereits über das Sicherheitsproblem informiert worden. (dsc)