USSD-Exploit: Alle Infos auf einen Blick

Der Stein des Anstoßes

Am 21. September hielt der indische Entwickler Ravi Borgaonkar auf der Sicherheitskonferenz Ekoparty in Buenos Aires einen Vortrag zum Thema „Der Missbrauch von USSD-Code in Mobilfunknetzen“. Um zu demonstrieren, welche Sicherheitsprobleme mit dieser Thematik verbunden sind, "löschte" er ein Samsung Galaxy S2, indem er mit dem Gerät eine präparierte Website besuchte.

Wie geht das?

Borgaonkar hat den USSD-Code *2767*3855# auf dem Galaxy S2 ausgeführt, der das Telefon auf Werkseinstellungen zurücksetzt. Alle Apps und persönlichen Einstellungen sind futsch. Persönliche Daten wie Fotos oder Videos bleiben aber erhalten, wenn sie auf der microSD-Karte gespeichert werden.

Link zum Video

Was ist ein USSD-Code?

Über USSD-Codes lassen sich seit Jahren auf dem Telefon Aktionen ausführen. Sie werden vor allem von Netzbetreibern eingesetzt, um den Kunden den einfachen Zugang zu vorkonfigurierten Diensten zu bieten: Rufumleitungen, Guthabenabfragen, Multi-SIM-Funktionen – alles sehr leicht steuerbar, indem der Nutzer im Telefonmenü eine Zahlen-Zeichenkombination (zum Beispiel *111#) wählt und auf "Anrufen" tippt.

Diese Kurzbefehle werden auch von vielen Herstellern benutzt, um Systemfunktionen anzusteuern. Sie sind aber vor allem für den internen Gebrauch gedacht und werden daher nur selten nach außen kommuniziert. 

Wo ist das Sicherheitsleck?

Wenn man einen USSD-Code ausführt, muss man ihn in das Tastenfeld seines Telefons eingeben und auf „Anrufen“ tippen. Borgaonkar gelang es aber, diesen Code im Hintergrund automatisch auszuführen, ohne dass der Nutzer etwas davon mitbekommt.

Dafür nutzte er ein Feature, das zum Standard-Repertoire von Smartphones gehört: Die Verknüpfung des Browsers mit der Telefon-App. Das heißt: Wenn ich im Browser auf eine Telefonnummer tippe, dann öffnet sich direkt die Telefonanwendung mit der Nummer und ich muss nur noch auf „Anrufen“ tippen. Der dafür erforderliche HTML-Code lautet:

<a href="tel:xyz">Klicken Sie hier, um uns direkt anzurufen</a>

Jetzt könnte man die Telefonnummer "xyz" auch einfach mit dem dem USSD-Code *2767*3855# ersetzen, in unserem Beispiel hieße das:

<a href="tel:*2767*3855#">Klicken Sie hier, um uns direkt anzurufen</a>

Der oben angeführte Befehl setzt voraus, dass der Nutzer auf einen Link klickt, damit die Nummer angewählt und die Telefon-App gestartet wird. Borgaonkar hat diesen Befehl allerdings in einen Frame eingebettet. Das sieht dann so aus:

<frameset><frame src=“tel:*2767*3855#" /></frameset>

Wenn dieser Frame auf einer Website platziert wird, wird ein Telefon, das diese Website besucht, sofort und ohne Rückfrage versuchen, diese Nummer anzuwählen. Aber auch das stellt an sich noch kein Problem dar. Denn wenn ich eine derart präparierte Website mit meinem Smartphone besuche, wird die Telefon-App zwar mit dieser Nummer gestartet, ich muss aber explizit auf "Anrufen" tippen, damit irgendetwas passiert.

Das Sicherheitsleck besteht darin, dass bestimmte Smartphones diesen Anruf starten, ohne noch einmal mit dem Anwender zu interagieren. Vielmehr wird der Anruf sofort im Hintergrund durchgeführt. Und wenn sich hinter der Nummer keine Telefonnummer, sondern ein entsprechender USSD-Kurzbefehl versteckt, gibt es ein Problem. Im konkreten von Borgaonkar demonstrierten Fall heißt das: Das Galaxy S2 besucht eine entsprechend präparierte Website und startet sofort den Factory Reset, ohne dass der Nutzer überhaupt weiß, was los ist.

Also kein Samsung-Sicherheitsleck sondern ein Android-Problem?

Ja. Beim Ausführen von USSD-Codes im Hintergrund über eine präparierte Website scheint es sich um ein herstellerübergreifendes Problem zu handeln. Samsung hat nur das Pech gehabt, dass sein USSD-Löschbefehl bekannt ist und zu Demonstrationszwecken herhalten musste.

[Update vom 27.09: heise gelang es jetzt, die SIM-Karte bei einem HTC One XL zu sperren.]

Gibt es noch andere Einfallstore?

Ja, alle Apps und Anwendungen, die mit dem Browser verknüpft sind und diesen automatisch auf eine Website führen können. Dazu gehören QR-Codes, NFC-Tags und WAP-Push-Nachrichten.

Zwei Galaxy S3 nach dem Besuch der Test-Website http://www.isk.kth.se/~rbbo/testussd.html. Auf dem linken Modell ist die neueste Samsung-Firmware installiert (Android 4.1), auf dem rechten läuft ein CM9 (Android 4.0.4) / (c) AndroidPIT

Welche Telefone sind betroffen?

Bisher ist bekannt, dass das Sicherheitsleck nicht nur hersteller- sondern auch versionsabhängig ist. Geräte mit Android 4.1 Jelly Bean scheinen nicht betroffen zu sein. Anders sieht es dagegen bei Android 4.0.4 und 4.0.3 aus, hier sind entsprechende Fälle dokumentiert. Komplizierter wird es dadurch, dass auch der Browser (Chrome oder Android nativ) eine Rolle spielt.

Folgende betroffene Modelle und Versionen sind bisher bekannt:

• Samsung Galaxy S3 (ist nur betroffen, wenn ein Custom ROM mit Android 4.0.X installiert ist, die originale Firmware von Samsung ist sicher)
• Samsung Galaxy S2
• Samsung Galaxy S
• Samsung Galaxy Ace, Beam und S Advance
• Samsung Galaxy Note mit Android 4.0.3
• Samung Galaxy Tab GT-P1000
• HTC One S
• HTC One X
• HTC One V mit Android 4.0.3
• HTC Sensation (XE) mit Android 4.0.3
• HTC Desire HD
• HTC Desire mit Android 2.2.2
• HTC Legend
• HTC Evo 3D mit Android 4.0.3
• HTC Desire Z
• HTC Incredible S
• HTC Tattoo mit Android 1.6
• Motorola Milestone
• Motorola Atrix 4G
• Motorola Atrix 2 mit Android 2.3.6
• Motorola Razr mit Android 2.3.6
• Huawei Ideos X3 mit Android 4.0.3
• LG P990 Optimus Speed
• Sony Ericsson Xperia Play mit Android 2.3.4
• Sony Ericsson Xperia Neo mit Android 4.0.4
• Sony Ericsson Xperia Arc S mit Android 2.3.4

Wenn ihr herausfinden wollt, ob auch Euer Telefon betroffen ist, surft einfach diese Website an, auf die auch Borgaonkar verweist: http://www.isk.kth.se/~rbbo/testussd.html.  Wenn ihr danach sofort die IMEI-Nummer seht, führt Euer Modell im Hintergrund ohne Rückfrage USSD-Befehle aus.

Wie kann ich mich schützen?

Wenn ihr einen alternativen Dialer installiert, kommt immer erst die Rückfrage, mit welcher Telefon-App ihr den Anruf ausführen wollt. Die Dialer-App darf dabei natürlich nicht als Standard festgelegt sein, da sonst das Dialog-Fenster nicht erscheint.

Entwickler und AndroidPIT-Community-Mitglied Jörg Voss hat außerdem ein kleines Tool geschrieben, das einen solchen Dialer emuliert. Damit könnt Ihr Euch ebenfalls vor Angriffen schützen, ohne gleich einen vollständigen Dialer auf das Telefon zu packen. Ihr könnt NoTelURL direkt aus dem Play Store installieren.

NoTelURL: Die App von Jörg Voss emuliert einen Dialer / (c) Anbieter

In jedem Fall gilt: Vor einem Telefonat wird immer erst ein Zwischendialog eingeblendet. Es gibt aber momentan keine elegantere Lösung, vielmehr sind jetzt die Hersteller gefragt. Sie müssen Updates ausliefern. Samsung hat das bereits angekündigt.

Fazit: Wie groß ist die Gefahr für mein Telefon?

Dass sich über den Besuch einer Website USSD-Code im Hintergrund ausführen lässt, ist zweifelsohne ein schwerwiegendes Sicherheitsleck. Allerdings sollte man auch die Kirche im Dorf lassen: Bisher sind keine entsprechenden Fälle in freier Wildbahn bekannt, bei denen diese Lücke ausgenutzt wurde.

Diskutiert auch in unserem Forum zu dem Thema!

Titelbild: kwe/Tony Hegewald/pixelio.de