Benutzt hier jemand ein wischofon mit ändräut?
Zwei App-Rechte des Android-Betriebssystems lassen sich missbrauchen, um einen universellen Keylogger zu bauen, der alles mitliest, was der Benutzer des Gerätes in die Tastatur tippt. Außerdem kann ein Angreifer sie dazu nutzen, einer bösartigen App unbeschränkte App-Rechte zu verschaffen
„Ist aber nicht weiter schlimm, weil man doch die rechte einer äpp bei der installazjon abnicken muss, da kann man ja erstmal drauf achten“, denkt da vielleicht der eine oder andere… doch, es ist so schlimm:
Da alle aus dem Play Store installierten Apps routinemäßig diese Berechtigung haben, muss der Nutzer sie nicht explizit abnicken
Denn jede äpp braucht ja die rechte, einen unsichtbaren layer über die oberfläche legen zu können. Wozu? Ach, geht einfach weiter, hier gibts nichts zu sehen! Aber immerhin, guhgell tut ja was dagegen:
Google verhindert nun allerdings, dass Apps, die sie ausnutzen, in den Play Store geladen werden
Ob es wohl einen halbwegs effizjenten test gibt, um das ausnutzen eines exploits aus dem bytekohd rauszukriegen und von einer legitimen nutzungsform zu unterscheiden? Sind ja nur ein paar hunderttausend äpps in der großen müllhalde des pläjhstohr. Und die „kreativität“ von kriminellen kann erheblich sein, wenn es darum geht, an so einer kontrolle vorbeizukommen. Denn die kriminellen leben davon.
Na ja, guhgell tut ja sonst so irre viel für die kompjutersicherheit. Zum beispiel, wenn guhgell einen exploit in anderen betrübssystemen oder anwendungen findet. Dann muss der binnen neunzig tagen gefixt werden, denn dann kommt es zur veröffentlichung. Gnadenlos. Da wird „don’t be evil“ doch sicherlich selbst auch genau so schnell ausbeutbare schwächen in seinem eigenen scheißsystem fixen, oder?
Da diese Probleme inhärent Teil des Berechtigungssystems von Android sind, kann Google sie nicht ohne weiteres beheben – obwohl die Firma bereits im August 2016 von den Forschern über die Lücken informiert wurde […] Mit der nächsten Hauptversion von Android (Android O) will man solche Angriffe dann gänzlich verhindern
Aber nein doch, für die ändräut-gutsherren von guhgell gelten da ganz andere maßstäbe. Da wird eine offene, ausbeutbare sicherheitslücke einfach eine kleine ewigkeit lang vom august des letzten jahres bis zur veröffentlichung der näxten ändräut-hauptversjon vorsätzlich und jeden anwender in gefahr bringend offen gehalten. Und unterdessen erzählen euch die leute, dass ihr mit euren scheißwischofonen eure fernkontoführung¹ machen und überall bezahlen sollt, ist ja alles voll sicher, da kann ja gar nix passieren. Und ihr glaubt denen auch noch. Hej, und denkt immer dran, dass ihr immer überall schön sichere passwörter verwendet, euch dann aber mit eurem möglicherweise für euch völlig unentdeckbar von einer trojanischen äpp gepwnten scheißwischofon anmeldet! Eine trojanische äpp, wohlgemerkt, die keine besonderen privilegjen braucht, um einen keylogger zu implementieren. Weia, was für eine riesengroße scheiße! Wie fühlt sich das an, wenn man ein betrübssystem von guhgell hat und von guhgell mit so einem planetensystemweit offenen scheuentor einfach im stich gelassen wird? Mit meikrosoft wäre das jedenfalls nicht passiert, die fixen bei ganz großen scheunentoren sogar noch ihr obsoletes windohs XP… 
Auch weiterhin viel spaß mit euren wischofonen, die die security-blauäugigkeit der neunziger jahre mit der technisch kompententen kriminalität der zehner jahre kombinieren! Ob euer jetzt benutztes wischofon jemals eine aktualisierung des betrübssystemes sehen wird? Fragt doch mal euren wischofon-hersteller, der euch viel lieber neue wischofone verkaufen möchte! Und dann kauft einfach ein neues! Ihr habt das geld ja, und gut für die wirtschaft ist es auch. Vielleicht kann man das neue wischofon sogar mal ein halbes jahr lang benutzen, ohne dass man dadurch zum verantwortungslosen vollidjoten wird. Und dann kommt die nächste katastrofenmeldung… 😦
Nachtrag: wie man guhgells skänn im pläjhstohr umgeht? Das ist nicht schwierig, sondern könnte ähnlich wie bei den werbebanner-klickbetrugs-trojanern gemacht werden.
Google verwendet zwar für seinen Play Store eine Technik namens Bouncer, um solche Adware aus dem Shop fern zu halten. Doch die Kiniwini-Software lädt die Malware-Funktionen offenbar erst nach, wenn die jeweilige App bereits installiert ist und sich abseits des Goolge-Shops bei ihrem Hersteller registriert hat
Wenn man aber als schadsoftwäjhr-progger überhaupt keinen internetz-zugriff machen will, dann gibts halt ein paar mitgelieferte daten (serialisierte java-objekte), die so verschlüsselt abgelegt werden, dass sie beim skänn unauffällig bleiben und die dann einfach geladen und ausgeführt werden. Und den kohd zum entschlüsseln kann man beliebig schwer analysierbar machen — was übrigens kein bisschen anders aussehen muss, als ein legitimer versuch, irgendwelche „häcks“ einer softwäjhr zu erschweren.
Je länger ich darüber nachdenke, desto unmöglicher kommt es mir vor, auszuschließen, dass diese sicherheitslücke von einer äpp im pläjhstore ausgebeutet wird. Was guhgell mit seinen skänn vorschlägt, ist eine beseitigung des problemes durch auftragen von schlangenöl statt durch ausräumen der ausbeutbaren ändräut-schwachstelle.
¹Scheißwerber sprechen von „online-banking“, weil das hipper klingt…
