Tech-News-Technologie

Google bestätigt, dass ein Kamerafehler auf Android-Handys zum Ausspionieren von Benutzern verwendet werden könnte

Die Google Kamera-App und Samsung-Telefone wiesen eine schwerwiegende Schwachstelle auf, bei der Forscher zeigten, wie die Kamera-App verwendet werden kann, um Benutzer einfach auszuspionieren, indem sie Fotos und Videos aufnehmen, ohne dass das Opfer dies bemerkt.

Google Android-Kamera, Google-Kamerafehler, Sicherheitslücke in der Google-Kamera-App, Android-Kamera-Spionage, WhatsApp Pegasus, Google-Kamera-Spyware, Google-Kamera-SpionageGoogle hat bestätigt, dass die Kamera seiner Android-Handys dank einer Sicherheitslücke im System zum Ausspionieren von Benutzern verwendet werden könnte. (Repräsentatives Bild von Google Pixel 3 XL)

Die Kamera der Android-Smartphones von Google und Samsung hat sich laut Forschern des CheckMarx Security Research Teams als großes Datenschutzrisiko erwiesen. Sie fanden heraus, dass die Kamera-App verwendet werden könnte, um Benutzer einfach auszuspionieren. Google hat die Sicherheitslücke bestätigt, die nicht nur seine Pixel-Handys, sondern auch andere Anbieter betrifft. Samsung bestätigte auch, dass sie betroffen sind. Beide haben das Problem bereits behoben.

Die Einzelheiten waren herausgegeben von CheckMarx nachdem sie sowohl Google als auch Samsung über die Sicherheitslücke informiert hatten. Beide Anbieter stimmten der Veröffentlichung von Details zu, einem Standardprotokoll bei der Hervorhebung einer schwerwiegenden Sicherheitslücke. Google wurde Anfang Juli 2019 über die Sicherheitslücke informiert.



In einer Erklärung sagte Google: Wir freuen uns, dass Checkmarx uns darauf aufmerksam macht und mit Google- und Android-Partnern zusammenarbeitet, um die Offenlegung zu koordinieren. Das Problem wurde auf betroffenen Google-Geräten durch ein Play Store-Update der Google Kamera-Anwendung im Juli 2019 behoben. Außerdem wurde allen Partnern ein Patch zur Verfügung gestellt.

Also was ist passiert? Forscher sagen, dass sie Probleme mit der Google Kamera-App auf den Pixel 2 XL- und Pixel 3-Geräten gefunden haben. Die Sicherheitsanfälligkeit ist auf Probleme mit der Umgehung von Berechtigungen auf Android zurückzuführen. Weitere Untersuchungen zeigten, dass sich der Fehler auf Kamera-Apps anderer Smartphone-Anbieter im Android-Ökosystem auswirkte.

Die Sicherheitslücke (Nummer CVE-2019-2234) ermöglichte es einem Angreifer, die Kamera-App zu steuern, um Fotos und Videos über eine betrügerische Anwendung aufzunehmen, die keine ausdrückliche Erlaubnis dazu hatte. Forscher fanden heraus, dass böswillige Akteure in bestimmten Angriffsszenarien in der Lage waren, verschiedene Richtlinien für Speicherberechtigungen zu umgehen. Dadurch hatten sie Zugriff auf gespeicherte Fotos, Videos und darin eingebettete GPS-Metadaten, die alle dazu verwendet werden konnten, den Benutzer auszuspionieren, da er es nicht wusste.

Was konnten die Forscher aufgrund dieser Schwachstelle alles erreichen?

Sie entwarfen eine bösartige Wetter-App, die mit dem Command and Control (C&C)-Server des Hackers verbunden war, in diesem Fall des CheckMarx-Teams. Die Forscher nutzten die Schwachstelle aus und stellten fest, dass sie die folgenden Aufgaben auf dem kompromittierten Android-Telefon ausführen konnten:

Zuerst konnten sie Fotos mit dem Telefon des Opfers aufnehmen und auf den C&C-Server hochladen, was genau das ist, was Spyware tut.

Zweitens konnten sie ein Video auf dem Telefon des Opfers aufnehmen und es auch an den C&C-Server senden.

Drittens könnten sie auch die GPS-Tags für alle mit einem Telefon aufgenommenen Fotos abrufen und das Telefon auf einer globalen Karte lokalisieren, um so leicht zu lokalisieren, wo sich der Benutzer aufhält.

Viertens konnte das Telefon im Stealth-Modus betrieben werden und Fotos und Videos wurden aufgenommen, während der Benutzer dies nicht bemerkte.

Fünftens konnten die Forscher auch einen Sprachanruf aufzeichnen, der Video von der Seite des Opfers und Audio von beiden Seiten des Gesprächs umfasste.

Die Forscher zeigten, dass sie die Schurken-App dazu bringen konnten, die Kamera des Telefons dazu zu bringen, Fotos zu machen, selbst wenn das Telefon gesperrt war. Sie konnten dies auch mitten in einem Sprachanruf tun.

Die Forscher nutzten die Speicherberechtigung aus, die der Android-Kameraanwendung gewährt wurde, da sie auf die im internen Speicher des Telefons gespeicherten Fotos und Videos zugreifen muss. Da die Speicherberechtigungen sehr breit sind, geben sie am Ende Zugriff auf den gesamten Speicher, den die Rogue-Anwendung ausgenutzt hat.

Die Sicherheitslücke wurde erstmals am 4. Juli gemeldet und Google hat den Schweregrad bis zum 23. Juli auf „Hoch“ angehoben. Im August bestätigte Google, dass auch andere betroffen waren, und Ende August bestätigte Samsung, dass sie ebenfalls anfällig sind. Wenn Sie ein Google- oder Samsung-Telefon verwenden, überprüfen Sie am besten, ob die Kamera-App aktualisiert wurde und Sie keine Sicherheitsupdates von beiden verpasst haben.