Android-Sicherheitslücke
Hannover (dpa/tmn) - Zahlreiche Smartphones mit den Android-Versionen 12 bis 17 lassen sich mit einer einfachen, unsichtbaren SMS zum Absturz bringen. Dahinter steckt eine SMS des Todes (SMS of Death) getaufte Sicherheitslücke, die der Sicherheitsforscher Mark Blaszczyk veröffentlicht hat, wie das IT-Fachportal «Heise.de»berichtet.
Wird die Schwachstelle nicht behoben, starte das Telefon nach einem Angriff per SMS ungefähr alle anderthalb Minuten neu und zeige eine Aufforderung zum Löschen der Daten im Wiederherstellungsmodus an. Das sollten Nutzende aber keinesfalls tun, so die Experten.
Akut-Hilfe vom Profi: Telefon an PC hängen und ADB-Tool nutzen
Statt das Gerät auf die Werkseinstellungen zurückzusetzen und somit alle Daten zu löschen, um es wieder benutzen zu können, sollte man sich Profi-Hilfe holen. Denn Mark Blaszczyk zufolge ist eine Wiederherstellung über eine PC-Verbindung zum Smartphone möglich.
Dabei muss das Entwicklertool Android Debug Bridge (ADB) auf dem PC installiert und genutzt werden. In der Wiederherstellungsaufforderung sollte man nur keinesfalls «Wipe data» auswählen, sonst seien alle Daten auf dem Gerät verloren.
Patches für Android 14 bis 17 - wohl keine für Android 12 und 13
Für die Android-Versionen 14 bis 17 gibt es von Google spätestens seit Anfang Oktober auch ein Sicherheitsupdate. Besitzt man aber nicht gerade ein Pixel-Smartphone, kann es Wochen oder sogar Monate dauern, bis der Gerätehersteller die Sicherheitspatches verteilt hat.
Auf älteren Geräten mit Android 12 oder 13 bleibt die Lücke höchstwahrscheinlich bestehen - es sei denn, Hersteller entwickeln selbst passende Patches. Nutzende sollten regelmäßig in den Smartphone-Einstellungen (oft unter «System/Softwareupdates» oder ähnlich) nachsehen, ob Aktualisierungen vorliegen.
Angriff ist völlig unsichtbar, läuft über einen Weg für Provider
Der beschriebene Angriff, der per sogenannter WAP-Push-SMS erfolgt, ist für Nutzende völlig unsichtbar, die Nachrichten des Angreifers erscheinen noch nicht einmal im Posteingang, erklärt «Heise.de».
Bei WAP Push handele es sich um ein veraltetes System, mit dem Mobilfunkbetreiber versteckte Anweisungen an Mobiltelefone senden können, ohne dass Nutzende aktiv werden müssten - etwa um Einstellungen des Netzbetreibers zu übernehmen.