Schnäppchen im Angebot: Tablets und Smartphones mit Malware

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor bestimmten Tablets und Smartphones, die schon mit Schadsoftware im Gepäck beim Kunden ankommen oder angekommen sind. Die Behörde mahnt Benutzer dieser Geräte zu besonderer Vorsicht.

Konkret geht es um folgende Geräte:

• das Tablet Eagle 804 von Krüger&Matz
• das Smartphone S8 Pro von Ulefone
• das Smartphone A10 von Blackview

Im Rahmen von Analysen konnte nachgewiesen werden, dass das Tablet Eagle 804 im Auslieferungszustand über eine vorinstallierte Schadsoftware mit einem bekannten Command&Control-Server Kontakt aufnimmt. Bei den Smartphones Ulefone S8 Pro und Blackview A10 konnte im aktuellen Auslieferungszustand (Firmwareversion V3EG62A.JKE.HB.H.P3.0711.V3.05_20180711-1021 (Blackview A10), Firmwareversion F9G62C.GQU.Ulefone.HB.H.SSXSJS5MHMYP1HK.042 (Ulefone S8 Pro)) keine Schadsoftware nachgewiesen werden. Die Hersteller bieten jedoch auf ihren Webseiten als einzige Variante eine Firmware mit niedrigerer Versionsnummer zum Download an, in der diese Schadsoftware enthalten ist. Es ist daher davon auszugehen, dass mit diesen Firmwareversionen ausgelieferte Geräte ebenfalls betroffen sind.

Geräte auch in Deutschland verbreitet

Ursprünglich hatte die Firma Sophos über entsprechende Infektionen bei Ulefone S8 Pro Geräten berichtet und die Funktionalitäten des Schadprogramms analysiert.

Dem BSI liegen zudem sogenannte Sinkhole-Daten vor, die über 20.000 Verbindungen unterschiedlicher deutscher IP-Adressen pro Tag mit diesem maliziösen C&C-Server nachweisen. Es muss daher von einer größeren Verbreitung von Geräten mit dieser Schadsoftwarevariante in Deutschland ausgegangen werden. Das BSI hat deutsche Netzbetreiber bereits mittels CERT-Bund Reports über infizierte Geräte in deren jeweiligen Netzen informiert. Die Provider wurden gebeten, ihre betroffenen Kunden entsprechend zu benachrichtigen.

Die von Sophos als "Andr/Xgen2-CY" bezeichnete Schadsoftware übermittelt ad hoc verschiedene kennzeichnende Daten des Geräts an den C&C-Server und verfügt daneben auch über eine Nachladefunktion. Darüber könnten weitere Schadprogramme wie etwa Banking-Trojaner auf den jeweiligen Geräten platziert und ausgeführt werden. Eine manuelle Entfernung der Schadsoftware ist aufgrund der Verankerung im internen Bereich der Firmware nicht möglich. Für die Geräte mit maliziösen Firmwareversionen wurden zum Untersuchungszeitpunkt keine Firmwareupdates angeboten. Nutzerinnen und Nutzer haben daher keine Möglichkeit, die Geräte zuverlässig zu bereinigen und ohne Schadfunktionalität zu betreiben.

Der BSI-Präsident Arne Schönbohm kommentiert:

"Einmal mehr zeigt sich an diesem Fall ganz deutlich, dass der Preis oder technische Features allein kein Kriterium für eine Kaufentscheidung sein dürfen. Die Anwenderinnen und Anwender zahlen sonst möglicherweise mit ihren Daten oder durch betrügerische Aktivitäten deutlich drauf. Um eine fundierte Kaufentscheidung treffen zu können, sind die Anwenderinnen und Anwender auch auf eine transparente Darstellung der Sicherheitseigenschaften angewiesen. Hier sind die Händler gefordert. Sie müssen auch dafür Sorge tragen, dass solche Geräte gar nicht erst in den Markt kommen. Wir haben die Hersteller der Geräte über unsere Erkenntnisse informiert und sie aufgefordert, geeignete Maßnahmen zu treffen, um die Sicherheit ihrer Kundinnen und Kunden wiederherzustellen. Mehr ist dem BSI derzeit nicht möglich"

Die Reaktion von Herstellern und Lieferanten

Amazon hat gegenüber dem BSI angegeben, die drei genannten Geräte nach der Kontaktaufnahme durch das BSI gegenwärtig aus dem Sortiment genommen zu haben.

Mittlerweile hat der Hersteller Blackview ein Firmware-Update für das Smartphone A10 bereitgestellt. Das BSI hat das angebotene Update überprüft und seine Unbedenklichkeit bezüglich der Schadsoftware bestätigen können. Das Firmware-Update wird über die Systemeinstellungen des Geräts angeboten, kann aber auch manuell auf der Hersteller-Webseite heruntergeladen werden.