Achtung: Sicherheitslücke beim USSD-Code ermöglicht Komplettlöschung aus der Ferne

[manuel]

Getestet habe ich es noch nicht, hört sich aber böse an was die herausgefunden haben: Samsung Smartphones: Komplettlöschung aus der Ferne für Jedermann

Die Frage ist nur ob der Handynutzer auch den Code willentlich ausführen muss oder ob es reicht wenn es in einen iFrame eingebaut ist.

Nachtrag: Betroffen davon sollen nicht alle Samsung Geräte und Androidversionen sein. Wer betroffen ist kann es über diese Seite http://fotovossblog.peggy-forum.com/USSD.html testen. Wenn der IMEI-Code angezeigt wird dann ist dein Handy anfällig. Abhilfe schafft die App https://play.google.com/store/apps/details?id=com.voss.notelurl, sie leitet die schädliche URL in die eigene App um und somit ist kein Angriff möglich.

Dafür sind auch HTC und andere Hersteller betroffen: http://www.heise.de/newsticker/meldung/Android-Smartphones-Bei-USSD-Anruf-SIM-Tod-1718789.html

 

[email.filtering]

Hättest Du den Beitrag genauer gelesen hättest Du gesehen, dass ganz offensichtlich auch schon der vollautomatische Empfang einer entsprechend manipulierten SMS bzw. MMS (WAP Push) ausreicht!

 

[manuel]

Ich habe ihn komplett gelesen, konnte es nur nicht glauben dass eine SMS das Handy über den Code resetet. Bei Tests konnten wir zumindest über den iFrame bisher den Angriff nicht nachvollziehen.

 

[Genicksalto]

hier wird es demonstriert ab 9:20
Demo Dirty use of USSD Codes in Cellular Network en Ekoparty 2012 - YouTube

 

[Lucas]

Es muss nichtmal eine SMS sein.

Hier der Beitrag von Chip.de mit einer Möglichkeit dies zu verhindern: Fiese Lücke bei Samsung: Weblink löscht alle Daten - News - CHIP Online

Schwere Sicherheitslücke bei Samsung: Allein das Klicken eines Links auf einer Webseite kann alle auf Samsung-Handys gespeicherten Daten löschen. Schuld ist ausgerechnet die Samsung-eigene Oberfläche TouchWiz.

Erstmals besprochen wurde die Lücke von Ravi Borgaonkar auf einer Sicherheitskonferenz: Eine Webseite gibt als Linkziel eine URL an, für das Smartphone die Anweisung enthält, einen kompletten Factory Reset, also ein Zurücksetzen des Samsung-Handys auf die Werkseinstellungen, durchzuführen.

Zwar sind nicht alle Smartphones des koreanischen Herstellers betroffen, CHIP Online konnte den Fehler aber reproduzieren und so beispielsweise ein Samsung Galaxy S2 von allen gespeicherten Daten befreien. Das Smartphone zeigt kurz noch in alarmroten Lettern an, dass nun alle Daten gelöscht werden, bietet nach dem Klick des Links aber keine Chance mehr, den Vorgang abzubrechen.

Dabei setzt der Hack auf eine denkbar simple Lücke: Der Schadcode auf der Webseite gibt dem Handy einfach den Befehl, einen USSD-Code auszuführen – warum die Samsung-Smartphones diese Aufgabe überhaupt annehmen, das prüft der Hersteller derzeit.

Einen Patch für die Sicherheitslücke gibt es noch nicht, wohl aber einen Weg, den Hack im Notfall zu unterbinden: Während unser Galaxy S2 den Warn-Screen einblendete und verkündete, nun starte der Reset, genügte das Herunterziehen der Benachrichtigungsleiste, um das Handy abstürzen zu lassen. Danach muss man zwar den Akku entfernen und wieder einsetzen, damit das Handy erneut startet, die Daten waren allerdings noch vorhanden. (mas/mwi)

 

[Speed1981]

Auf der Internetseite Areamobile wir auf eine Sicherheislücke bei Samsung Smartphons hingewiesen. Aber wenn ich auf den Link am Ende des Berichts klicke hab ich das gleich Problem, meine IMEI wie angezeigt. Das HTC one X hat das gleiche Problem wie das S3.



http://www.areamobile.de/news/22508...ung-galaxy-s3-und-anderen-android-smartphones

von meinem HTC One X mit Tapatalk 2

 

[diemike]

Habe es gerade bei chip.de gelesen und poste das vorsichtshalber mal:

http://m.chip.de/news/Fiese-Luecke-bei-Samsung-Weblink-loescht-alle-Daten_57687135.html

Sorry für den Doppelpost,hatte es erst ins S2-Forum geschrieben,denke aber,dass es hier besser rein passt.

Liebe Grüsse Mike vom Samsung Galaxy Note N7000 via Tapatalk2

 

[manuel]

Die Möglichkeit zum verhindern ist geil, weil ich da ja in der kurzen Zeit dran denke das zu tun. Die meisten die betroffen sind werden nicht mal wissen das sie so das reseten unterbinden können.

 

[ChrisMobile]

Die USSD-Codes gibt es schon ewig und sind garantiert keine Sicherheitslücke..
Das einzige Problem ist hier, dass bei der Samsung Version von Android ein Werksreset OHNE Nachfrage ausgeführt wird.
Zum Beispiel wird beim Galaxy Nexus (Google Android) der Code auch ausgeführt, jedoch wird VOR dem Reset ein Dialog geöffnet bei dem man einwilligen muss.

Das bei dir die IMEI angezeigt wird tut aber überhaupt nichts zur Sache, da bei HTC der Werksreset nicht über USSD-Codes sondern eine Tastenkombination funktioniert. Es kann dadurch auch niemand Kontrolle über dein Gerät erlangen oder deine Daten abfangen.

Es ist aber natürlich generell fragwürdig ob man USSD-Codes überhaupt durch einen QR-Code oder eine Webseite ausführen lassen sollte.

Die Codes an sich gibt es aber seit Jahrzehnten und für alle Handies/Smartphones.. (z.B. *100# für den Prepaid-Kontostand)

 

[MotoDave]

Gefährliche Sicherheitslücke: Samsung-Handys können aus der Ferne gelöscht werden - Digital | STERN.DE Mobile

 

[2five]

Hallo zusammen,

ich bin etwas am verzweifeln. Ihr habt bestimmt von der Sicherheitslücke gehört, welche die Samsung geräte auf Werkseinstellungen zurücksetzt.

Leider habe ich erst davon gehört, nachdem mir der Link geschickt wurde.
Ich habe zwar sofort reagiert und per taskmanager es beendet, aber meine kompletten Bilder sind futsch. 1 Jahr gesammelte Bilder die teilweise echt wichtig waren.

Gibt es eine möglichkeit die wieder herzustellen?
Es ist ja auch nur ein Dateisystem und da werden die normalerweise ja auch nur als "gelöscht" markiert, bis sie überschrieben werden.

Die App "Undelete" hab ich schon probiert.
Er findet einige dinge, aber absolut nichts im Ordner DCIM :-(

Danke schonmal
2five

EDIT:
btw um euch davor
http://www.androidpit.de/sicherheitsleck-samsung-smartphones-lassen-sich-unbemerkt-loeschen

zu schützen, nehmt das hier
https://play.google.com/store/apps/details?id=com.voss.notelurl

 

[HipHopRulez]

Es mag dir zwar nicht helfen, aber nicht ohne Grund ist die Datensicherung (nicht nur beim Smartphone) das wichtigste überhaupt um seine Daten zu schützen. Also inZukunft drauf achten und wenigstens wöchentlich ein paar Minuten Zeit adern um seine Daten zu sichern.

 

[rugolt]

Wie hier beschrieben besteht die Möglichkeit eines ungewünschten Factory-Resets o.ä. Aktionen da der standard Android-Dialer
ungeprüft auch nicht selbst eingegebene USSD-Codes ausführt.

Wer wissen will ob sein System betroffen ist kann diesen Link mit dem Smartphone-Browser besuchen.
Öffnet sich ein Fenster mit der IMEI sollte der Dialer abgesichert werden.
Ein schneller und einfacher workaround ist die App "TelStop". Sie fängt den schädlichen Link durch eine einfache Zwischenabfrage ab.
Diese App benötigt keine besonderen Rechte und funktioniert bei mir einwandfrei.

In diesem englischsprachigen Blog ist die Problematik ebenfalls beschrieben, von dort stammt auch der Tip mit "TelStop".

 

[Speed1981]

Danke für die sehr gute Erklärung.

Gesendet von meinem HTC One X mit Tapatalk 2

 

[lazyjo]

Hallo liebes Forum.

Auf der Heise Seite wurde von einem Sicherheitsleck bei Samsung-Phones berichtet:

Sicherheitsleck: Samsung-Smartphones aus der Ferne löschbar | heise online

In Heises Forum wurde ein link veröffentlicht, über den man prüfen kann ob ein Smartphone betroffen ist:

hier*kann*man*sein*Telefon*testen: | Sicherheitsleck:*Samsung-Smartphones*aus... | heise security news-Foren

Mein HTC One V unter Android 4.0 ist ebenfalls betroffen :-(

Gruß.
JO

Der ursprüngliche Beitrag von 08:33 Uhr wurde um 09:03 Uhr ergänzt:

Hier bei uns im Samsung S3 Forum wurde eine Webside mit einer App veröffentlicht, die das Problem behebt:

Smartphone

Nach der Installation dieser App ist das Problem bei mir behoben

 

[Fulminator]

Beim ersten Klick auf einen Telefon-Link wird nun gefragt, was Standard sein soll. Das Telefon oder die App. Nun die App auswählen? Führt das nicht dazu, daß ich Telefonnummern gar nicht mehr direkt anklicken kann?



*********************************
Tapatalk

 

[rugolt]

Genau das ist der workaround. Wenn solch eine Abfrage urplötzlich beim Besuchen einer Webseite erscheint ohne das du eine Tel.Nr. angeklickt hast dann weißt du das da was faul ist.
Hast du aber bewußt eine Tel.Nr. geklickt und möchtest diese anrufen dann wähle einfach an der Stelle "Telefon".
Auf keinen Fall hier eine Standardaktion festlegen, solange das nicht in der Firmware repariert wurde muß man entweder mit diesem Verfahren oder der möglichen Gefährdung leben.
Es ist umständlich, keine Frage. Aber sicher wird da in Kürze auch was besseres kommen.

Alternativ kann man auch einen anderen Dialer verwenden der nicht anfällig ist, einfach mal im PlayStore schauen was es da so gibt.

 

[crumbs]

Es gibt auf allaboutsamsung noch eine andere app.
Die heißt:
No Tel: URL

...zugestellt per taptalk aus den Tiefen der Galaxie S2

 

[TimeTurn]

Der Werksreset funzt beim S3 auch nur bis Android 4.0.3 - ab 4.0.4 und mit 4.1.1 das ich (Final) drauf habe sowieso - wurde das behoben.

Thread zum Thema im S3-Forum: https://www.android-hilfe.de/forum/...0.555/factoryreset-durch-webseite.306333.html

Das One V wird dort erwähnt als ebenfalls betroffen. Kann ich aber natürlich nicht nachvollziehen.

 

[Saminchen]

Hallo,

obige Schlagzeile geht seit heute durch die Presse.
Gefahr durch SMS.
S3, S2, Galaxy Ace und Beam sollen angeblich betroffen sein.

Weiß jemand was Genaueres?

Saminchen