- Anzeigen -


Sie sind hier: Home » Virenwarnung » Sicherheitslecks

Sicherheitslücke bei App-Werbung von Baidu





Update-Mechanismus mit Sicherheitsleck: Das "Baidu Mobile Advertising SDK" ist kostenlos verfügbar und kann mit nur geringem Fachwissen in jede Anwendung integriert werden
Baidu ist ein in China sehr erfolgreiches Web-Service-Unternehmen, das Entwicklern von mobilen Apps ein SDK zur Erzeugung von Werbeanwendungen zur Verfügung stellt

(19.08.15) - Das Forschungsteam von Bitdefender hat herausgefunden, dass der Update-Mechanismus des Baidu Mobile Advertising SDK (Software Development Kit) eine Sicherheitslücke aufweist. Sie erlaubt die Ausführung von Remote Code über einfache Man-in-the-Middle-Attacken. Diese Angriffe sind durch die Nutzung eines unsicheren Kommunikationskanals (HTTP-Protokoll) im Update-Prozess einer Komponente (_pasys_remote_banner.jar) möglich.

Baidu ist ein in China sehr erfolgreiches Web-Service-Unternehmen, das Entwicklern von mobilen Apps ein SDK zur Erzeugung von Werbeanwendungen zur Verfügung stellt. Damit können sie von Baidu genehmigte Anzeigen in ihre Apps einbinden. Das "Baidu Mobile Advertising SDK" ist kostenlos verfügbar und kann mit nur geringem Fachwissen in jede Anwendung integriert werden. Auch in Deutschland können Nutzer von der Schwachstelle betroffen sein, insbesondere wenn sie international verfügbare Android-Apps verwenden.

Das Baidu Mobile Advertising SDK besitzt zwei wichtige Komponenten. Eine befindet sich direkt in "classes.dex". Sie sorgt dafür, dass die Library nach dem Build in den "classes.dex" Code gelangt. Die zweite ist die betroffene .jar-Datei, die sich in einem eigenen Ordner der APK befindet, die beim Start der Anwendung dynamisch durch das erste Modul geladen wird. Obwohl die Forscher in den realen Tests mit Hilfe des von ihnen entwickelten Proof of Concepts (PoC) nicht die angreifbare Version der ersten Komponente ermitteln konnten, identifizierten sie mehrere implementierte Versionen in der Datei MANIFEST.MF der zweiten Komponente mit der Sicherheitslücke. Dazu zählen unter anderem die Versionen 3.83, 3.71 und 3.68. Aktuell wird die Version 3.93 oder 3.92 heruntergeladen.

Da die gesamte Kommunikation über HTTP abgewickelt wird, könnte ein Angreifer diese einfach abfangen und ein speziell erstelltes Softwarepaket einschleusen, um persönliche und private Daten zu sammeln, die sich auf dem genutzten Gerät befinden.

Der von Bitdefender erzeugte PoC nutzt einen Man-in-the-Middle-Proxy, der als veränderte Version der originalen JAR-Datei dient. Die geänderte Version wird automatisch beim nächsten Start der betroffenen Applikation geladen. Die modifizierte Version der Datei _pasys_remote_banner.jar integriert Code, der private Daten wie Google-Konto, Telefonnummer, Kontakte oder Ort auszulesen versucht. Dies erfolgt gemäß der Zugriffserlaubnisse der Anwendung, die das Advertising SDK enthält. Anschließend werden die Daten zu einem Web Service übertragen. Im nächsten Schritt lädt die Schadsoftware Fotos vom Standard-Speicherort der Kamera-Anwendung hoch. Schließlich zeigt der PoC von Bitdefender eine Botschaft in einem kleinen Popup-Menü an, das einige gesammelte Daten enthält.

Dieser PoC beweist, dass ein Angreifer die Schwachstelle ausnutzen kann, um auf einfache Weise hochsensible und persönliche Nutzerdaten auszulesen. Verschiedene Studien haben gezeigt, dass BYOD (Bring Your Own Device) in Unternehmen sehr häufig ist, wobei ein Gerät für berufliche und private Daten genutzt wird. Dies bedeutet, dass ein Angreifer möglicherweise auf viel mehr als nur ein paar persönliche Fotos zugreifen kann, zum Beispiel auf sensible Unternehmensinformationen. Dadurch können große Schäden entstehen.

Bitdefender empfiehlt Nutzern dringend, eine mobile Sicherheitslösung zu verwenden, die schädliche Anwendungen identifizieren kann, sowie Apps zur Datenschutzprüfung zu installieren. Diese bieten zusätzliche Informationen darüber, wie sich installierte Anwendungen verhalten sowie welche Daten sie abrufen und wohin schicken. (Bitdefender: ra)

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Sicherheitslecks

  • 1.8 Milliarden WhatsApp-Nutzer betroffen

    Das Research-Team von Check Point Software Technologies veröffentlicht Details zu FakesApps, einem Schwachpunkt in WhatsApp. Dabei gelang es Check Point, WhatsApp-Nachrichten von Usern zu manipulieren. Im Rahmen der Untersuchung wurden drei Angriffsmöglichkeiten gezeigt: >> Die Veränderung einer gesendeten Antwort, sodass dem Absender falsche Worte in den Mund gelegt werden. >> Abgabe einer gefälschten Antwort in einem Gruppenchat. Die zitierte Person muss dabei nicht einmal in der Gruppe Mitglied sein. >> Versendung einer persönlichen Nachricht in einem Gruppenchat, die für den Empfänger wie eine Gruppennachricht an alle Mitglieder aussieht - jedoch nur für ihn sichtbar ist. Wenn diese Person auf die gefälschte Nachricht antwortet, ist seine Antwort aber für alle Gruppenmitglieder sichtbar.

  • Lücke in den Zugangssystemen

    Forscher der finnischen Sicherheitsfirma F-Secure haben eine massive Lücke in den Zugangssystemen weltweit operierender Hotelketten entdeckt, das von Angreifern kompromittiert werden kann, um sich Zugang zu allen Räumen zu verschaffen. Die Schwachstelle wurde in der Software des Schließsystems Vision by VingCard gefunden, eine Lösung, die weltweit Millionen Zimmern in hochrangigen Hotels sichert. Hersteller Assa Abloy hat inzwischen Software-Updates mit Sicherheits-Bugfixes veröffentlicht, um das Problem zu beheben. Die Sicherheitsexperten nutzten bei ihrem Angriff gewöhnliche elektronische Schlüsselkarten des Hotels. Diese waren teilweise längst abgelaufen, ausgemustert oder dienten lediglich dem Zugang zu Garagen oder Abstellräumen. Anhand der Informationen auf dem Schlüssel konnten die Experten jedoch einen Hauptschlüssel mit Zugangsberechtigungen generieren, um so jeden Raum im Gebäude öffnen zu können. Der Angriff blieb völlig unbemerkt und lies auch keine Spuren zurück.

  • Risikobasiertes Management der Schwachstellen

    Spectre und Meltdown dominieren auf Grund ihres massiven Ausmaßes seit Wochen die Schlagzeilen. Doch die Prozessor-Schwachstellen sind nicht unbedingt die einzige Gefahr für Unternehmen. Secunia Research von Flexera veröffentlichte bereits mehr als 35 Vulnerability Advisories zu Spectre/Meltdown. Davon wurden die meisten als "mäßig kritisch" bewertet, mit Kritikalitätswerten von 1 bis 3 bei max. 5 Punkten. Die mögliche Schlussfolgerung: Trotz aller Sicherheitsrisiken durch Spectre und Meltdown, stellen weitere kritische, nicht gepatchte Schwachstellen im Umfeld eine weit gefährlichere und unmittelbare Bedrohung dar.

  • Sicherheitslücken: Sabotage einer Tankstelle

    Die Sicherheitsexperten von Kaspersky Lab haben im Rahmen einer Untersuchung eine Reihe unbekannter Schwachstellen in einer Steuereinheit gefunden, die von Tankstellen weltweit eingesetzt wird. Die Sicherheitslücken betreffen ein Embedded-System, von dem derzeit über tausend Einheiten installiert und online sind. Über die Schwachstellen wären Hacker in der Lage, via Fernzugriff die Kontrolle über betroffene Systeme zu erlangen. Kaspersky Lab hat den Hersteller umgehend nach Entdeckung der Schwachstellen über die Gefahr informiert.

  • Was sind Meltdown und Spectre?

    Nach den ersten Berichten über die bekannt gewordenen Schwachstellen in Mikroprozessoren, arbeiten die betroffenen Chiphersteller mit Hochdruck an einer industrieweiten Lösung. Mit täglich neuen Details und Meldungen von Seiten der Sicherheitsexperten und Unternehmen bleibt die Lage unübersichtlich. Digital Shadows hat die wichtigsten Fragen und Antworten zusammengestellt. Die Meltdown und Spectre getauften Sicherheitslücken ermöglichen es Angreifern, auf Systemspeicherinformationen im Kernel, dem privilegiertesten Bereich moderner Betriebssysteme, zuzugreifen. Der Kernel verwaltet Prozesse wie das Starten und Beenden von Anwenderprogrammen, Sicherheitseinstellungen, Speicherverwaltung und die Steuerung von Hardware wie Speicher- und Netzlaufwerken.