Untersuchung: Signal, FB Messenger und andere waren unsicher und konnten gehackt werden

Die Google-Forscherin Natalie Silvanovich entdeckte einen Fehler in fünf Android-Messaging-Apps, der es Dritten ermöglichte, heimlich die Nachrichten eines Nutzers abzuhören oder sogar zu sehen. Die fünf als unsicher eingestuften Apps waren Signal, FB Messenger, JioChat, Mocha und Google Duo (ja, Google hat einen Fehler in Google gefunden).

Em ein Beitrag im Google Project Zero-Blog, einer Unternehmensinitiative, die Schwachstellen in verschiedenen Internetdiensten untersucht, beschreibt Silvanovich, wie diese Fehler relativ Confáveis Signal und Facebook Messenger wurden unsicher. Der Fehler ermöglichte es, einen versteckten Anruf mit einem empfangenden Gerät zu starten, ohne den Empfänger zu benachrichtigen. Der Anruf initiierte stillschweigend Audio und manchmal sogar Video und übertrug es dann an das anrufende Gerät zurück. Die Fehler wurden inzwischen behoben, die Apps wurden jedoch durch die Sicherheitslücken beeinträchtigt.

„Theoretisch besteht die Einholung der Zustimmung des Empfängers vor einer Audio- oder Videoübertragung lediglich darin, zu warten, bis der Benutzer den Anruf annimmt, bevor der Verbindung irgendwelche Spuren hinzugefügt werden“, schrieb Silvanovich.

„Als ich jedoch die tatsächlichen Anwendungen analysierte, stellte ich fest, dass sie die Übertragung auf viele verschiedene Arten ermöglichten. Die meisten davon führten zu Schwachstellen, die es ermöglichten, Anrufe ohne Interaktion mit dem Empfänger zu verbinden“, fügte er hinzu.

Die Korrekturen in der Signal Die Angriffe erfolgten im September 2019. Die iOS-App war laut Silvanovich nicht betroffen, da ein zweiter, unabhängiger Fehler einen versteckten Anruf verhinderte.

Die anderen Apps erhielten erst im letzten Jahr Updates: JioChat, das in Indien verwendet wird, im Juni; Mocha, das in Vietnam beliebt ist, im August; Facebook (FB) Messenger im November und Google Duo im Dezember.

Andere Apps

Silvanovich untersuchte auch die Messaging-Apps Telegram und Viber, fand jedoch keine ähnlichen Unsicherheiten. Es ist erwähnenswert, dass sie 2018 für die Entdeckung verantwortlich war ein Sicherheitsfehler in WhatsApp Dadurch konnten Hacker über einen Videoanruf die Kontrolle über die App übernehmen.

Die Google-Forscherin erklärte, dass die jüngsten Entdeckungen auf einen ähnlichen Fehler zurückzuführen seien, der im Januar 2019 in FaceTime unter iOS und macOS entdeckt wurde. Ihrer Ansicht nach liegen die Schwachstellen in den „Zustandsmaschinen“, also den Geräten, die für die Steuerung der Anrufe in diesen Anwendungen zuständig sind.

„Die Schwachstelle war ein Logikfehler in der FaceTime-Zustandsmaschine, der nur über die Benutzeroberfläche des Geräts ausgenutzt werden konnte“, erklärte Silvanovich. „Die Tatsache, dass eine so schwerwiegende und leicht auszunutzende Schwachstelle auftrat, ließ mich fragen, ob auch andere Zustandsmaschinen unter ähnlichen Schwachstellen litten“, fügte er hinzu.

Über Tom's Guide

Bild: Daniel Constante/Shutterstock