Das Sicherheitsunternehmen Promon hat eine neue Sicherheitlücke unter Android entdeckt . Da es sich dabei um den Nachfolger der 2019 entdeckten Schwachstelle StandHogg handelt, wurde sie auf den Namen StrandHogg 2.0 getauft. Die Attacken von StrandHogg 2.0 sind allerdings schwieriger zu erkennen und die Lücke bietet eine breitere Angriffsfläche als der Vorgänger-Bug. Aus diesen Gründen wird StrandHogg 2.0 von den Forschern als schwerwiegender eingestuft als StrandHogg 1.0.
Die Sicherheitslücke erlaubt es Angreifern mit ihrer Malware, die Identität ledigimer Android-Anwendungen anzunehmen. Die getarnte Schadsoftware kann so vom Nutzer Berechtigungen, wie etwa Zugriff auf SMS, Kontakte oder Mikrofon und Kamera einfordern, ohne dass dieser den Schwindel bemerkt. Tippt der Nutzer auf seinem Smartphone auf das Symbol einer legitimen App, wird über die StrandHogg-2.0-Lücke im Hintergrund eine Anfrage für unterschiedliche Berechtigungen ausgelöst. Für den Nutzer erweckt das den Eindruck, die legitime App verlange zusätzliche Berechtigungen. Er erteilt sie jedoch nicht für die eigentliche App, sondern für die Malware im Hintergrund. Der Angreifer kann so unbemerkt die Kontrolle über zahlreiche Smartphone-Funktionen übernehmen.
StrandHogg 2.0 benötigt im Vergleich zur Vorgänger-Sicherheitslücke keinen Root-Zugriff mehr auf dem Smartphone. Über die Lücke sind außerdem mehrere Angriffe gleichzeitig möglich. Da keine externe Konfiguration zur Ausführung der Malware mehr nötig ist, kann Schadsoftware auf diese Weise auch durch die Sicherheitskontrollen von Google Play rutschen. Neben Fotos und Standortdaten sind durch die Lücke laut den Forschern auch Anmeldedaten – wie etwa für Banking-Apps – gefährdet.
Android-10-Nutzer können aufatmen. Sie sind von der Sicherheitslücke nicht betroffen. Lediglich Android 9 und älter ist anfällig für StrandHogg 2.0. Laut den aktuellen Zahlen sind das jedoch mehr als 91 Prozent aller Android-Nutzer. Google ist die Lücke bereits bekannt. Der Konzern will sie noch in diesem Monat schließen. Einen konkreten Veröffentlichungstermin für das entsprechende Update hat der US-Konzern bislang jedoch noch nicht genannt. Smartphone-Besitzer sollten nicht lange zögern, sobald sie eine Update-Benachrichtigung für Android erhalten. Nutzer sollten bis dahin besonders darauf achten, Vorsicht bei der Installation von Apps walten zu lassen, die nicht aus dem Google Play Store stammen.
Autor: Denise Bergert, Autorin
Denise Bergert schreibt seit 2011 als freie IT-Journalistin für pcwelt.de. Ihre Themenschwerpunkte sind Smartphones, Internet, Gaming, Gadgets, Filme, Serien und Security.