Java-Sicherheitslücke

S40-Handys von Nokia manipulierbar?

12.08.2008
Mit einem neuen Hack lassen sich angeblich auf Handys mit Nokias Betriebssystem S40 aus der Ferne SMS senden, Anrufe tätigen oder Telefonate mitschneiden, ohne dass der Besitzer es merkt.

Mehrere hundert Millionen Besitzer eines Handys mit Nokias Betriebssystem S40 könnten demnächst Probleme bekommen. Das behauptet zumindest der polnische Programmierer Adam Gowdiak. Er könne alle Funktionen der Mobiltelefone aus der Ferne manipulieren, indem er einfach eine SMS schickt, die automatisch Java-Programmcode nachlädt. Dieser Schadcode kann dann genutzt werden, um Kurznachrichten zu senden, Anrufe zu tätigen, Telefonate mitzuschneiden oder die Kamera zu verwenden. Wie das genau funktioniert, erklärt Gowdiak in einem 178 Seiten langen Report, den er über seine Website verkauft. Der Benutzer merkt nichts von den Angriffen und kann auch wenig dagegen tun. Selbst Antivirus-Software hilft nicht dagegen.

Normalerweise haben Java-Programme nur eingeschränkte Fähigkeiten auf dem Handy. Besonders wenn sie kostenpflichtige Aktionen ausführen wollen, wie Telefonanrufe oder den Aufbau von Datenverbindungen, wird der Nutzer sofort alarmiert. Nur wenn so eine Software ein Zertifikat vom Netzbetreiber besitzt, darf sie solche Aktionen ausführen, ohne den Nutzer zu informieren. Programme mit einem Zertifikat des Handy-Herstellers dürfen auch auf geschützte Bereiche des Speichers zugreifen. Der Hack von Gowdiak soll aber ohne Zertifikate die Erlangung von absoluten Benutzerrechten ermöglichen, mit denen man jede Funktion auf dem Handy nutzen kann. Weil als Einfallstor für den Schadcode die Java-Plattform dient, könnten auch andere Handy-Hersteller betroffen sein.