Eine gefährliche Sicherheitslücke gefährdet Android-Nutzer weltweit. Das Problem ist tückisch: Angreifer können Android-Geräte durch das blosse Versenden einer speziell manipulierten SMS-Nachricht wiederholt zum Absturz bringen. Der Nutzer muss nicht darauf klicken, nicht auf einen Link gehen, nichts öffnen. Die blosse Ankunft der Nachricht reicht aus.
Wie funktioniert das? SMS-Nachrichten können neben reinem Text auch strukturierte Daten enthalten. Android verarbeitet diese Daten automatisch im Hintergrund. Sicherheitsforschende haben entdeckt, dass bestimmte Datenstrukturen einen Fehler im Android-System auslösen können, der zu einem unkontrollierten Neustart führt. Wenn ein Angreifer diese Nachricht wiederholt sendet, stürzt das Gerät immer wieder ab.
Die Folge ist praktisch ein Denial-of-Service-Angriff gegen die Nutzerin oder den Nutzer. Ständige Neustarts machen das Handy für die normale Nutzung unbrauchbar. Die Person kann Anrufe nicht entgegennehmen, ihre Nachrichten nicht lesen und auch nicht schnell genug reagieren, um die Nachricht zu löschen, bevor das nächste Crash-Szenario startet.
Das Problem ist besonders tückisch, weil der Nutzer sich nicht bewusst ist, dass er angegriffen wird. Anders bei Phishing oder anderen Angriffsformen, bei denen der Nutzer etwas machen muss, ist hier keine Interaktion nötig. Das macht es schwer, sich zu schützen.
Google und andere Hersteller sind über das Problem informiert und arbeiten an Lösungen. Updates sollten in absehbarer Zeit verfügbar sein.
Für Nutzer ist dies ein Reminder, dass selbst scheinbar sichere Kanäle wie SMS angegriffen werden können. KMU sollten ihre Sicherheitspolitik überdenken, wenn sie SMS für kritische Kommunikation nutzen. Zwei-Faktor-Authentifizierung über SMS könnte durch diesen Angriffsvektor gefährdet sein. Alternative Authentifizierungsmethoden oder die Überwachung von Geräteneustartern könnten Zusatzmassnahmen sein.