Über einen Tweet von @tchibomann wurden wir auf einen Artikel von Android Police hingewiesen. Und dieser dürfte allen HTC-Kunden, die ein Android-Gerät in der Tasche mit sich tragen, übel aufstoßen. Offenbar gibt es eine gravierende Sicherheitslücke, über die manipulierte Apps, die eigentlich nur die Berechtigung android.permission.INTERNET benötigen nahezu alle persönlichen Daten auf dem Telefon auslesen und versenden. Diese Berechtigung wird immer dann benötigt, will eine App auf das Web zugreifen. Das dürfte bei der Vielzahl aller Apps der Fall sein. Sprich: Es ist alles Andere als verdächtig, will eine App eben dieses Recht für sich beanspruchen.
Das für HTC wirklich Fatale ist aber, dass der Hardware-Hersteller laut Android Police in einigen der vergangenen Updates für seine Telefone jede Menge Daten gesammelt hat. Diese "Logger" legen diese Daten einem bestimmten Ort auf dem Telefon ab. Diese Daten wurden durch HTC offenbar nicht richtig geschützt, so dass "böswillige" Apps direkt auf den großen Datenpool, der normalerweise unter Android niemals möglich wäre, zugreifen kann.
Laut Artikel bei Android Police kann dann auf die folgenden Daten zugegriffen werden:
- Die Liste aller Nutzer-Accounts auf dem Telefon, inkl. der E-Mail Adressen und dem Sync Status für jeden dieser Accounts
- Das letzte bekannte Netzwerk, sowie alle GPS-Daten, als auch eine eingeschränkte History aller getrackten Orte
- Telefonnummern aus dem Telefon-Log
- SMS-Daten, inkl. aller Nummern und dem verschlüsselten Text
- System-Dateien
Laut Android Police geht es aber noch weiter. Es war den Jungs möglich auf jede Menge weitere Telefondaten, wie die laufenden Prozesse, der Liste der installierten Apps, CPU-Infos, usw. zuzugreifen. Für was diese Daten allerdings nützlich sein sollen...? Da ist es schon beunruhigender, dass die durchaus sensiblen Daten auf fast allen HTC-Modellen so offen zugänglich zu sein scheinen.
Wir können dies aktuell nicht nachprüfen. Allerdings scheint der Artikel sehr plausibel.
Deswegen der Aufruf an die Community: Bitte prüft das nach und helft und das zu verifizieren!
Die Sicherheitslücke wurde bereits am 24. September bekannt. Allerdings konnten die o. g. Daten jetzt erst vollständig ausgewertet werden. Übrigens: HTC ist auf hält sich bisher mit Kommentaren noch deutlich zurück. Mal sehen, ob sie das jetzt noch können, nachdem die Story so hochgekocht ist. Offenbar gibt es übrigens für dieses Problem noch keinen sicheren Fix.
Wie vorhin schon bei Twitter geschrieben: Da hat sich HTC ein dickes Ding geleistet...
Bernd L.
Was ein scheiß. Wie soll man sich denn da verhalten? Alle Apps löschen?
Ne Liste mit den bösen Apps wär gut.