Qualpwn ist ein neuer Exploit für Snapdragon-Chips von Qualcomm. Hier ist, was Sie wissen müssen

Ihr Telefon besteht aus einer Vielzahl verschiedener Komponenten, von denen viele "intelligent" sind und über einen eigenen Prozessor und eine eigene Firmware verfügen. Das bedeutet, dass es viele Stellen gibt, an denen Bugs oder Schwachstellen gefunden werden können, die es einem schlechten Schauspieler ermöglichen, auf Dinge zuzugreifen, die er nicht sollte. Die Unternehmen, die diese Teile herstellen, versuchen immer, Dinge zu verbessern und zu härten, um dies zu verhindern. Es ist ihnen jedoch unmöglich, alles zu finden, bevor eine Komponente das Labor verlässt und am Fließband landet.

Die meisten Exploits werden gepatcht, bevor jemand weiß, dass sie existieren, aber einige schaffen es durch.

Dies macht das Auffinden dieser Fehler und Schwachstellen zu einer eigenen Branche. Bei DEFCON 27 und Black Hat 2019, einem riesigen Veranstaltungsort, an dem Exploits veröffentlicht und demonstriert (und hoffentlich gepatcht) werden, hat das Tencent Blade-Team eine Sicherheitslücke in Qualcomm-Chips angekündigt, die einem Angreifer den Zugriff über den Kernel und potenziell ermöglichen würde Holen Sie sich in Ihr Handy und verursachen Schaden. Die gute Nachricht ist, dass es verantwortungsbewusst angekündigt wurde und Qualcomm mit Google zusammengearbeitet hat, um das Problem mit dem Android Security Bulletin vom August 2019 zu beheben.

Hier finden Sie alles, was Sie über QualPwn wissen müssen.

Was ist QualPwn?

QualPwn ist nicht nur ein lustiger Name, sondern beschreibt auch eine Sicherheitsanfälligkeit in Qualcomm-Chips, die es einem Angreifer ermöglichen würde, ein Telefon über WLAN (Wireless Local Area Network) und Mobilfunkmodem aus der Ferne zu manipulieren. Die Qualcomm-Plattform ist durch Secure Boot geschützt, QualPwn besiegt jedoch Secure Boot und ermöglicht einem Angreifer den Zugriff auf das Modem, sodass Debugging-Tools geladen und das Basisband gesteuert werden können.

In diesem Fall kann ein Angreifer den Kernel, auf dem Android ausgeführt wird, ausnutzen und höhere Berechtigungen erlangen - er kann auf Ihre persönlichen Daten zugreifen.

Wir haben nicht alle Details darüber, wie dies passieren würde oder wie einfach es sein würde, aber diese werden während der Präsentationen von Tencent Blade Black Hat 2019 und DEFCON 27 bekannt gegeben.

Was ist ein WLAN?

WLAN steht für Wireless Local Area Network und ist ein Sammelbegriff für eine Gruppe von Geräten - einschließlich Mobiltelefonen -, die drahtlos miteinander kommunizieren. Ein WLAN kann Wi-Fi, Mobilfunk, Breitband, Bluetooth oder jeden anderen drahtlosen Typ für die Kommunikation verwenden und war schon immer ein Honeypot für Menschen, die nach Exploits suchen.

Da so viele verschiedene Gerätetypen Teil eines WLANs sein können, gibt es sehr spezifische Standards, wie eine Verbindung hergestellt und aufrechterhalten wird. Ihr Telefon, einschließlich Komponenten wie Qualcomms Chips, muss diese Standards einbeziehen und befolgen. Mit fortschreitenden Standards und der Schaffung neuer Hardware können Fehler und Schwachstellen bei der Herstellung von Verbindungen auftreten.

Wurde QualPWN behoben?

Ja. Das Android Security Bulletin für August 2019 enthält den gesamten Code, der zum Patchen betroffener Geräte von Qualcomm erforderlich ist. Sobald Ihr Telefon den Patch für August 2019 erhalten hat, sind Sie in Sicherheit.

Welche Geräte sind betroffen?

Das Tencent Blade-Team hat nicht jedes Telefon mit einem Qualcomm-Chip getestet, nur Pixel 2 und Pixel 3. Beide waren anfällig, sodass wahrscheinlich mindestens alle Telefone betroffen sind, die auf den Plattformen Snapdragon 835 und 845 ausgeführt werden. Der zum Patchen von QualPwn verwendete Code kann auf alle Telefone angewendet werden, auf denen ein Qualcomm-Prozessor und Android 7.0 oder höher ausgeführt werden.

Bis alle Details veröffentlicht sind, ist davon auszugehen, dass alle modernen Snapdragon-Chipsätze bis zum Patching als gefährdet eingestuft werden sollten.

Wurde QualPwn in der realen Welt eingesetzt?

Dieser Exploit wurde im März 2019 verantwortungsbewusst an Google weitergegeben und nach Überprüfung an Qualcomm weitergeleitet. Qualcomm benachrichtigte seine Partner und sandte den Code zum Patchen im Juni 2019 aus. Jedes Teil der Kette wurde mit dem Code des Android Security Bulletins vom August 2019 gepatcht.

Es wurden keine Fälle gemeldet, in denen QualPwn in freier Wildbahn ausgenutzt wurde. Qualcomm gab auch die folgende Erklärung zu diesem Thema ab:

Die Bereitstellung von Technologien, die robuste Sicherheit und Datenschutz unterstützen, hat für Qualcomm Priorität. Wir loben die Sicherheitsforscher von Tencent dafür, dass sie im Rahmen unseres Vulnerability Rewards-Programms branchenübliche, koordinierte Offenlegungspraktiken anwenden. Qualcomm Technologies hat bereits Fehlerbehebungen für OEMs veröffentlicht. Wir empfehlen Endbenutzern, ihre Geräte zu aktualisieren, sobald Patches von OEMs erhältlich sind.

Was soll ich tun, bis ich den Patch bekomme?

Im Moment können Sie wirklich nichts tun. Die Probleme wurden von Google und Qualcomm als kritisch markiert und umgehend behoben. Warten Sie also im Moment, bis das Unternehmen, von dem Ihr Telefon stammt, sie erhalten hat. Auf Pixeltelefonen wie Pixel 2 und 3 sowie einigen anderen von Essential und OnePlus ist der Patch bereits verfügbar. Andere von Samsung, Motorola, LG und anderen werden wahrscheinlich ein paar Tage bis ein paar Wochen brauchen, um auf Handys übertragen zu werden.

Befolgen Sie in der Zwischenzeit dieselben bewährten Methoden, die Sie immer anwenden sollten:

• Verwenden Sie immer einen starken Sperrbildschirm
• Folgen Sie niemals einem Link von jemandem, den Sie nicht kennen und dem Sie nicht vertrauen
• Senden Sie niemals persönliche Daten an Websites oder Apps, denen Sie nicht vertrauen
• Geben Sie Ihr Google-Passwort niemals an andere Personen als Google weiter
• Verwenden Sie Passwörter niemals wieder
• Verwenden Sie immer einen guten Passwort-Manager
• Verwenden Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung

Mehr: Beste Passwort-Manager für Android im Jahr 2019

Diese Praktiken verhindern möglicherweise keine Ausbeutung dieser Art, aber sie können den Schaden mindern, wenn jemand ein paar Ihrer persönlichen Daten erhält. Mach es den Bösen nicht leicht.

Weitere Informationen folgen

Wie bereits erwähnt, wird das Tencent Blade-Team in den kommenden Präsentationen auf der Black Hat 2019 und der DEFCON 27 alle Details zu QualPwn veröffentlichen. Diese Konferenzen konzentrieren sich auf die Sicherheit elektronischer Geräte und werden häufig verwendet, um Exploits wie diese zu detaillieren.

Sobald Tencent Blade weitere Details zur Verfügung stellt, erfahren Sie mehr darüber, wie wir Risiken mit unseren eigenen Handys mindern können.

Holen Sie sich mehr Pixel 3

Google Pixel 3

• Google Pixel 3 und 3 XL Bewertung
• Beste Pixel 3 Fälle
• Beste Pixel 3 XL Hüllen
• Beste Pixel 3 Displayschutzfolien
• Beste Pixel 3 XL Displayschutzfolien

Für Einkäufe über unsere Links können wir eine Provision verdienen. Mehr erfahren.