|
Sie haben den Rat millionenfach gehört. Klicken Sie nicht auf Links in verdächtigen E-Mails oder Texten. Laden Sie keine schattigen Apps herunter. In einem neuen Bericht der Financial Times wird jedoch behauptet, dass die berüchtigte israelische Spionagefirma NSO Group einen WhatsApp-Exploit entwickelt hat, mit dem Malware auf Zieltelefone übertragen und Daten von diesen gestohlen werden kann, indem diese einfach angerufen werden. Die Ziele mussten nicht aufgreifen, um infiziert zu werden, und die Anrufe hinterließen oft keine Spuren im Protokoll des Telefons. Aber wie würde ein solcher Hack überhaupt funktionieren?
WhatsApp, das 1,5 Milliarden Benutzern weltweit standardmäßig verschlüsseltes Messaging bietet, hat die Sicherheitsanfälligkeit Anfang Mai entdeckt und am Montag einen Patch dafür veröffentlicht. Das Facebook-Unternehmen teilte der FT mit, dass es eine Reihe von Menschenrechtsgruppen wegen des Problems kontaktiert habe und dass die Ausnutzung dieser Sicherheitsanfälligkeit “alle Merkmale eines privaten Unternehmens aufweist, von dem bekannt ist, dass es mit Regierungen zusammenarbeitet, um Spyware auszuliefern”. In einer Erklärung lehnte die NSO Group jegliche Beteiligung an der Auswahl oder gezielten Bekämpfung von Opfern ab, nicht jedoch ihre Rolle bei der Erstellung des Hacks.
Sogenannte Zero-Day-Bugs, bei denen Angreifer eine Sicherheitslücke finden, bevor das Unternehmen sie reparieren kann, treten auf jeder Plattform auf. Es ist ein wesentlicher Bestandteil der Softwareentwicklung. Der Trick besteht darin, diese Sicherheitslücken so schnell wie möglich zu schließen. Dennoch scheint ein Hack, der nur einen eingehenden Anruf erfordert, eine einzigartige Herausforderung – wenn nicht unmöglich – zu sein, sich dagegen zu verteidigen.
WhatsApp hacken würde WIRED nicht näher erläutern, wie es den Fehler entdeckt hat, und nicht näher erläutern, wie es funktioniert. Das Unternehmen gibt jedoch an, dass neben der Veröffentlichung eines Patches auch Infrastruktur-Upgrades durchgeführt werden, um sicherzustellen, dass Kunden nicht mit anderen Telefonanrufen angesprochen werden können Bugs.
“In jeder Anwendung, die Daten aus nicht vertrauenswürdigen Quellen empfängt, können Fehler auftreten, die sich aus der Ferne ausnutzen lassen”, sagt Karsten Nohl, Chefwissenschaftler des deutschen Unternehmens Security Research Labs. Dazu gehören WhatsApp-Anrufe, die das Voice-over-Internet-Protokoll verwenden, um Benutzer zu verbinden. VoIP-Anwendungen müssen eingehende Anrufe bestätigen und Sie darüber informieren, auch wenn Sie nicht abheben. “Je komplexer die Datenanalyse ist, desto mehr Spielraum für Fehler”, sagt Nohl. “Im Fall von WhatsApp ist das Protokoll zum Herstellen einer Verbindung ziemlich komplex, sodass definitiv Platz für ausnutzbare Fehler vorhanden ist, die ausgelöst werden können, ohne dass das andere Ende den Anruf entgegennimmt.”
VoIP-Telefondienste gibt es schon so lange, dass Sie denken, dass Probleme mit den grundlegenden Anrufverbindungsprotokollen inzwischen behoben sind. In der Praxis ist die Implementierung jedes Dienstes jedoch etwas anders. Nohl weist darauf hin, dass es noch kniffliger wird, wenn Sie verschlüsselte End-to-End-Anrufe anbieten, wie dies bei WhatsApp bekannt ist. Während WhatsApp seine Ende-zu-Ende-Verschlüsselung auf dem Signalprotokoll aufbaut, enthält sein VoIP-Telefonat wahrscheinlich auch anderen proprietären Code. Signal sagt, dass sein Dienst für diesen anrufenden Angriff nicht anfällig ist.
Laut dem Sicherheitshinweis von Facebook stammte die WhatsApp-Sicherheitsanfälligkeit von einem äußerst häufigen Fehlertyp, der als Pufferüberlauf bezeichnet wird. Apps verfügen über eine Art Haltefeder, die als Puffer bezeichnet wird, um zusätzliche Daten zu speichern. Eine beliebte Klasse von Angriffen überlastet strategisch diesen Puffer, sodass die Daten in andere Teile des Speichers “überlaufen”. Dies kann zu Abstürzen führen oder Angreifern in einigen Fällen die Möglichkeit geben, mehr und mehr Kontrolle zu erlangen. Genau das ist mit WhatsApp passiert. Der Hack nutzt die Tatsache aus, dass das System bei einem VoIP-Anruf auf eine Reihe möglicher Eingaben des Benutzers vorbereitet sein muss: Annehmen, Ablehnen des Anrufs und so weiter.
“Das hört sich in der Tat nach einem Freak-Vorfall an, aber im Kern scheint es sich um ein Pufferüberlaufproblem zu handeln, das heutzutage leider nicht allzu ungewöhnlich ist”, sagt Björn Rupp, CEO der deutschen Firma für sichere Kommunikation CryptoPhone. “Sicherheit war nie das vorrangige Designziel von WhatsApp, was bedeutet, dass WhatsApp sich auf komplexe VoIP-Stacks verlassen muss, die für ihre Schwachstellen bekannt sind.”
Der WhatsApp-Bug wurde ausgenutzt, um nur eine kleine Anzahl hochkarätiger Aktivisten und politischer Dissidenten anzusprechen, sodass die meisten Menschen davon in der Praxis nicht betroffen waren. Sie sollten den Patch jedoch weiterhin auf Ihrem Android- und iOS-Gerät herunterladen.
“Unternehmen wie die NSO Group versuchen, einen kleinen Vorrat an Dingen aufzubewahren, die für den Zugriff auf Geräte verwendet werden können”, sagt John Scott-Railton, Senior Researcher am Citizen Lab der University of Toronto. “Dieser Vorfall macht deutlich, dass jeder mit einem Telefon von den Sicherheitslücken betroffen ist, mit denen Kunden dieser Unternehmen zu kämpfen haben. Hier gibt es eine Realität für uns alle.” |