Forscher bauen Smartphone-Botnet

Auf der Sicherheitskonferenz RSA 2010 haben zwei Forscher von TippingPoint ein experimentelles aber aktives Botnetz demonstriert. Sämtliche Bots sind dabei Smartphones. Das Netz besteht aus Android-Smartphones und iPhones mit aufgespieltem Jailbreak. Die Forscher haben eine Applikation namens WeatherFist erstellt, die Wetterinformationen der Website Weather Underground auf den Smartphones anzeigt. Was die Nutzer nicht wissen: WeatherFist sammelt Daten wie GPS-Positionen und Telefonnummern sendet sie an die Entwickler. Zusätzlich haben die Forscher eine weitere App erstellt, die sich zwar als WeatherFist ausgibt, aber deutlich mehr private Informationen sammelt. Letztere ist und wird nicht öffentlich verfügbar sein.

Erschreckenderweise hatte das Projekt einigen Erfolg. Obwohl die App lediglich über App-Stores von Drittherstellern angeboten wurde, zählten die Forscher nach 24 Stunden bereits über 1800 Installationen. Zur RSA-Konferenz waren mehr als 7800 Smartphones «infiziert».

Die Forscher von TippingPoint haben aus einem einfachen Grund App-Stores wie SlideMe und Cydia genutzt: Die offiziellen Marktplätze von Apple und Google prüfen Applikationen eingehend, bevor sie veröffentlicht werden. Apple signiert den kompletten Code, ausserdem haben iPhone-Apps nur einen beschränkten Zugriff auf private Daten. Ähnlich sieht es bei Android-Smartphone aus. Wer auf seinem Smartphone allerdings nicht signierte Apps installieren will, hat es bei Android deutlich einfacher. Muss man iPhones noch mittels eines Jailbreak-Hacks freischalten, reicht es bei Android, einen Haken im Anwendungs-Menü zu setzen.

Der Bericht der Forscher zeigt, dass sich moderne Smartphones relativ einfach in mobile Botnetze verwandeln lassen und die Nutzer Sicherheitsfunktionen teilweise selbst aushebeln. Der Jailbreak wird nicht das erste Mal genutzt, um ein iPhone anzugreifen. Auch die Malware iKee und deren Abwandlungen haben die gehackten iPhones im Visier (siehe auch: «iPhone leidet unter Wurmbefall»). Wer seine privaten Daten also sichern will, sollte auf die Installation des Jailbreaks verzichten und Programme nur aus den offiziellen Programmverzeichnissen installieren.