Schadsoftware: BSI warnt vor Smartphones und Tablets
von caschy | 13 Kommentare
Das Bundesamt für Sicherheit in der Informationstechnik warnt derzeit vor Geräten, die Kunden ganz normal bei Amazon kaufen konnten. Konkret hat das BSI über die Online-Plattform im Januar und Februar 2019 das Tablet Eagle 804 des Herstellers Krüger&Matz, das Smartphone S8 Pro des Herstellers Ulefone und das Smartphone A10 des Herstellers Blackview bestellt und in der Folge analysiert. Gerade bei Ulefone dürfte es vielleicht bei einigen klingeln, denn viele Shops bieten diese oft recht ordentlich ausgestatteten Smartphones zu einem guten Kurs an. Allerdings gab es da in der Vergangenheit wohl offensichtlich Probleme mit der Firmware, so das BSI:
Dabei konnte nachgewiesen werden, dass das Tablet Eagle 804 im Auslieferungszustand über eine vorinstallierte Schadsoftware mit einem bekannten Command&Control-Server Kontakt aufnimmt. Bei den Smartphones Ulefone S8 Pro und Blackview A10 konnte im aktuellen Auslieferungszustand (Firmwareversion V3EG62A.JKE.HB.H.P3.0711.V3.05_20180711-1021 (Blackview A10), Firmwareversion F9G62C.GQU.Ulefone.HB.H.SSXSJS5MHMYP1HK.042 (Ulefone S8 Pro)) keine Schadsoftware nachgewiesen werden. Die Hersteller bieten jedoch auf ihren Webseiten als einzige Variante eine Firmware mit niedrigerer Versionsnummer zum Download an, in der diese Schadsoftware enthalten ist. Es ist daher davon auszugehen, dass mit diesen Firmwareversionen ausgelieferte Geräte ebenfalls betroffen sind.
Auch wenn das eben genannte Ulephone S8 Pro aktuell ohne maliziöse Firmware angeboten wird, kann es dennoch sein, dass sich früher gekaufte Geräte mit der schädlichen Version im Umlauf befinden. Dem BSI liegen nach eigenen Aussagen sogenannte Sinkhole-Daten vor, die über 20.000 Verbindungen unterschiedlicher deutscher IP-Adressen pro Tag mit diesem maliziösen C&C-Server nachweisen. Es muss daher von einer größeren Verbreitung von Geräten mit dieser Schadsoftwarevariante in Deutschland ausgegangen werden.
Die von Sophos als „Andr/Xgen2-CY“ bezeichnete Schadsoftware übermittelt ad hoc verschiedene kennzeichnende Daten des Geräts an den C&C-Server und verfügt daneben auch über eine Nachladefunktion. Darüber könnten weitere Schadprogramme wie etwa Banking-Trojaner auf den jeweiligen Geräten platziert und ausgeführt werden. Eine manuelle Entfernung der Schadsoftware ist aufgrund der Verankerung im internen Bereich der Firmware nicht möglich. Für die Geräte mit maliziösen Firmwareversionen wurden zum Untersuchungszeitpunkt keine Firmwareupdates angeboten. Nutzerinnen und Nutzer haben daher keine Möglichkeit, die Geräte zuverlässig zu bereinigen und ohne Schadfunktionalität zu betreiben.
„Das BSI hat die Hersteller der Geräte über seine Erkenntnisse informiert und sie aufgefordert, geeignete Maßnahmen zu treffen, um die Sicherheit ihrer Kundinnen und Kunden wiederherzustellen. Mehr ist dem BSI derzeit nicht möglich„, so BSI-Präsident Arne Schönbohm. Amazon hat gegenüber dem BSI angegeben, die drei genannten Geräte nach der Kontaktaufnahme durch das BSI gegenwärtig aus dem Sortiment genommen zu haben.
Wird geladen ...
Danke für die Nachricht, sehr interessant. Weiß vielleicht jemand ob der BSI das für JEDES Smartphone macht oder nur stichprobenartig?
Wer billig kauft kauft zweimal. Oder eben von vornherein verseuchte Geräte. Man kann immer nur davor warnen.
@Markus. So eine Aussage ist mir unbegreiflich, ich verstehe sie nicht. Preise sind lediglich Empfehlungen/Ansagen eines Händlers, zu welchem/r Preis(höhe) er ein bestimmtes Produkt anbietet. Als Kunde hat man die Möglichkeit zu kaufen, nicht zu kaufen oder zu handeln. Letzteres ist in unseren Landen nicht üblich.
Ein Preis sagt NICHTS über Qualität oder sonstige Merkmale eines Produktes aus. Das ist MARKETING!
Man muss selber entscheiden, was und ob man kauft…. Niemand nimmt einem die Entscheidung ab. Im Nachhinein ist man immer klüger… und kann es beim nächsten Mal besser machen (aber: Achtung MARKETING/Werbung!).
Anscheinend kaufen immer noch genug Kunden diesen Ramsch daher gibt’s die Firmen noch. Da diese Hersteller kein Interesse daran haben einwandfreie Software aufzuspielen bleibt den Testern Nichts über als davor zu warnen oder was wollen Sie?
Wenn Ich mich vorher nicht informiere darf ich auch nicht rummeckern wieso das Leben Scheiße ist. Das Datenblatt runter lesen kann der Kunde schon selber dafür braucht’s keine Tester. T_T
Meine Aussage war vielleicht etwas „provokativ“ in den Raum geschmissen. Allerdings kann man Deinen Satz „Ein Preis sagt NICHTS über Qualität“ so nicht stehen lassen. Natürlich gehört auch Marketing dazu, aber wenn Firmen Smartphones verkaufen, die so billig sind, dann sagt einem der gesunde Menschenverstand schon, dass da was nicht stimmen kann.
Zu dem Thema siehe auch hier: https://news.sophos.com/en-us/2018/10/02/the-price-of-a-cheap-mobile-phone-may-include-your-privacy/
Persönlich betrachte ich meinen Verstand als gesund (was meine Frau dazu sagen würde, spielt hier keine Rolle :D). In erster Linie denke ich bei ziemlich niedrigen Preisen an unmenschliche Arbeitsbedingungen inkl. ausbeutender Löhne, vielleicht sogar noch Kinderarbeit. Sofern ein Unternehmen dahinter steckt. Ansonsten kann man noch von Hehlerware oder vorsätzlichem Betrug (Fälschungen) ausgehen. Von bewusst vorinstalliertem Schadcode würde ich persönlich jedenfalls bei niedrigen Preisen nicht automatisch ausgehen.
Allerdings hält mich auch etwas davon ab, Geräte von Herstellern mit dermaßen unbekannten Namen zu kaufen.
Logisch, volle Zustimmung. Arbeits- und Umweltbedingungen usw. gehören auch dazu. Und nicht auf jedem „Billig-Phone“ muss so ne Software drauf laufen.
Und ihr (icancimpute & Markus) glaubt ernsthaft, dass die Arbeitsbedingungen, unter denen Samsung und Apple fertigen lassen, besser sind, nur weil die Endkundenpreise höher sind ?
(https://en.wikipedia.org/wiki/Foxconn#Controversies) nur so als Anregung zum Nachdenken. Foxconn baut u.A. Nokias, Kindles, alles von Apple, Xiaomis, Konsolen (2012 ca. 40% aller verkauften Consumer-Elektronik weltweit laut der englischen Wikipedia)
Du siehst also bezüglich der Chance sich eine vorinstallierte Malware bei einem Smartphone/Tablet einzufangen so überhaupt keinen Zusammenhang dazu, ob das ein (etwas) teureres Gerät von einem bekannten Hersteller ist oder billigste Ramsch-Ware von einer Noname-Bude? Alles nur Marketing/Werbung? Faszinierend.
„Weiter kann das SSI nichts unternehmen“ – Armutszeugnis für die Verbraucherrechte . Hier müsste ggf. auch der Händler /marketplace-Anbieter Amazon in die Pflicht genommen werden – Rücknahme betroffener Geräte , Schadensersatz in voller Höhe – und zwar gesetzlich verankert , nicht durch Kunden auf langwierigen rechtswegen zu erstreiten. Denn wenn der Anbieter in TakkaTukka-Land sitzt kommt man an den selber ja oft gar nicht ran. Dann muß der zwischenhändler haften – das wäre mal echt was für die EU hier die Verbraucherrrechte zu stärken . Wichtiger als manch Umweltquatsch
Auf einem Xiaomi A2 (Gloable Version in Deutschland gekauft!) sind auch diverse Apps (mindestens 5) drauf die da nicht hingehören. Eine App ist wohl von der Indonesischen Regierung und eine andere ist irgendwas Indisches.
Die sind versteckt und in den Einstellungen unter Apps nicht sichtbar. Die fallen nur auf wenn man einen alternativen Launcher installiert wie z.B. Nova Launcher, dann sind die auf einmal da. Nicht deinstallierbar und auch nicht deaktivierbar und das auf einem Smartphone mit Android One.
Sowas kann einem also auch bei einem vermeitlich renomierten Hersteller passieren und auf einem Smartphone für 200 Euro. Bei Samsung oder Huawei ist ja eh immer Schund ohne Ende drauf.
Ich verstehe nicht, warum das BSI hier nicht zum Wohle der Burger über die o.g. IPs mit Hilfe der Provider die Anschlussimhaber anschreibt.
an dieser Stelle will ich nichts von Datenschutz zum Schutz des Bürger hören. Bei meinen Diesel war das ja schließlich auch möglich..
Weil IPs mindestens einmal am Tag neu vergeben werden, dazu kann seine eigentliche momentane IP verschleiern und es gibt kein zentrales Register wie bei Kraftfahrzeugen.