Android Beam: Malware per NFC aufs Handy einschleusbar

Bei der App Android Beam ist eine Sicherheitslücke entdeckt worden. Android Beam erlaubt das Senden und Empfangen von Daten (Fotos, Videos, Kontakte) mittels Near Field Communication (NFC). Wer mit Android Beam via NFC Daten empfängt, erhält eine Mitteilung und muss in der Regel den Empfang bestätigen. Die aktuelle Sicherheitslücke sorgt dafür, dass die übliche Warnung ausbleibt.

Nutzer könnten darum nach dem Empfang einer Datei durch einen Tap oder Klick eine schädliche App installieren, zum Beispiel weil sie es für ein Update halten. Ein möglicher Angreifer müsste allerdings sehr nahe am potenziellen Opfer sein, da die NFC-Reichweite kurz ist. Ausserdem müsste ein Bezahlterminal präpariert sein.

Die Schwachstelle wurde bereits im Januar vom Sicherheitsforscher Y. Shafranovich entdeckt. Er bemerkte, dass unter Android 8 und höher der Sicherheitshinweis nicht erschien und stattdessen eine Meldung eingeblendet wurde, mit der sich die App mit einem Klick installieren lässt – ohne dass man auf mögliche Sicherheitsrisiken aufmerksam gemacht wird.

Betroffen sind Geräte mit Android 8 (Oreo) und 9 (Pie). Wer Android 10 verwendet, ist nicht betroffen, da Google die Beam-Funktion aus Android Q entfernt hat. Google hatte die Funktion Android Beam 2011 eingeführt. Voraussetzung, um die Funktion zu nutzen, sind mindestens Android 4.1 oder höher und ein NFC-fähiges Android-Smartphone. Ausserdem müssen Sie in der Vergangenheit in Ihren Smartphone-Einstellungen explizit das Installieren von Apps aus unbekannten Quellen erlaubt haben.

Der Sicherheitsforscher Shafranovic hat gemäss «Heise Online» das Problem bereits am 30.1.2019 an Google gemeldet. Google stuft die Gefahr des Bugs CVE-2019-2114 als «hoch» sein. Doch erst jetzt, mit dem Oktober-Update, hat Google die Schwachstelle in Android Beam unter Android 8 und 9 gepatcht.

Allerdings haben noch nicht alle Hersteller das Oktober-Update ausgerollt. Bis dahin sollten Android-Smartphone-Besitzer auf Geräten mit Android 8 oder 9 mit Android Beam die NFC-Funktion abschalten. Oder der App respektive dem NFC-Dienst die Berechtigung entziehen, Apps aus unbekannten Quellen zu installieren.