Stagefright - Informationsthread (Lösungen, News, Diskussion)

[Miss Montage]

Okay, das könnte bei meinem Brötchengeber so nicht passieren (würde mich bei der Postbank aber auch wundern): Per Sprache - egal ob am Sprachcomputer oder per Mitarbeiter - werden immer nur 2 Stellen der PIN abgefragt. Welche Stellen das sind, wird vom Computer per Zufallsgenerator vorgegeben. So toll werden die Telefonisten ja auch nicht bezahlt, als dass "dumme Gedanken" oder kriminelle Energien von vornherein ausgeschlossen werden könnten ... Und Überweisungen > 1.000 EUR sind nur über ein Gespräch mit einem Mitarbeiter möglich (dessen User-ID im Auftrag mit gespeichert wird). Wenn dann eine alters- oder geschlechts-untypische Stimme am anderen Ende ist, gehen die Alarmglocken los...
Erfahrungsgemäß sind papierhafte Überweisungen definitiv nicht sicherer. Ich weiß aber nicht, in wie vielen Fällen, die ich erfasst habe, Unterschriftsfälschungen die Ursache waren. Erfassungsfehler bei der Weiterverarbeitung passieren leider auch oft...
Also ein Tipp an alle Telefonbanker hier: Kontonummer per Tastatur eintippen, T-PIN (und bitte niemals Geburtsdaten, eigene PLZ oder ähnlich leicht erratbares) - und davon nur 2 Stellen - per Sprache. Und anschließend den Anruf aus dem Protokoll löschen. Dann kann nicht viel passieren.

 

[dierose]

Beim Online Banking brauche ich eine extern generierte Tan. Da kann wenig passieren.
Aber mit Passwortklau bei Ebay und Payal könnte man mich recht schnell und effektiv schädigen.

 

[StardustOne]

Was ich nicht verstehe, wieso das Thema relativiert und als nicht schlimm abgetan wird. Hilft das einem verunsicherten Smartphone Nutzer?

Es ist dringend nötig dass auf Gefahren aufmerksam gemacht wird, und was jeden betrifft das ist kein Sommerloch Thema oder in ein paar Monaten interessiert es keinen Blabla. Diese Sache wird Android noch für lange anhängen. Da kann man es noch so lange schön reden, es ist eine hässliche Sache, die Folgen haben wird. Positive wie auch negative.

Gerade wo hier so viele sich erkundigen, was sie kaufen sollen; vieles was neu kommt kann man nicht mehr empfehlen, was bereits auf dem Markt ist und keine Updates bekommt, also praktisch alles mit ein paar Ausnahmen, auch nicht mehr, davon muss jetzt man ausgehen.

Wer heute kaufen muss, der kann unter einer Handvoll Geräte auswählen. So sieht es jetzt aus. Schade, aber jetzt abwarten hilft am Meisten.

Es gibt Alternativen, z.B. Jiayu S3, Asus Zenfone 2, Samsung S5, Moto G 2nd und 3rd, Moto X Play, Produkte von Xiaomi, Meizu, LG G3, Sony Xperia Z3 Compact und Oneplus, von denen weiss man jetzt Bescheid. Es gibt sicher weitere. Und wer was besitzt, das älter ist, wenn möglich CyanogenMod 12.1 drauf und weiter nutzen.

Der Zeitpunkt für China Schnäppchen ist jetzt vorbei, bis wieder Geräte rauskommen, die eben gegen Stagefright geschützt sind.

 

[lauterohre]

http://www.zdnet.de/88244207/stagefright-nachfolger-trend-micro-entdeckt-weitere-sicherheitsluecke-in-android-mediaserver/

 

[digidu]

[DOUBLEPOST=1439856257,1439855946][/DOUBLEPOST]Es war Plusminus
http://www.daserste.de/information/wirtschaft-boerse/plusminus/sendung/ndr/telefonbanking-100.html

Hab mir den Bericht auch mal angeschaut, nach meiner Meinung wurde der Mann gezielt ( vermutlich durch einen Tipp ) abgehört ! Das dürfte wohl eine fette Gans für die Betrüger gewesen, bei knappen 10000€ ! Bei der anderen Frau war es ja ähnlich, über 7000€ auch hier würde ich eine gezielte Abhörung beim T-Banking sehen ....

Nebenbei bemerkt, frage ich mich wieso ein recht intelligent rüber kommender älterer Mann, incl. einer sehr guten Rechneranlage überhaupt T-Banking macht ?
Ich selber bin seit gut 25Jahren Kunde der PB, seit 2001 mach ich o-Banking anfangs noch per zugesendeter TAN-Liste, ich glaub seit 2009 per i-TAN. Bei mir ist noch nie etwas derartiges passiert, auch kenne ich in meinem Freundes/Bekanntenkreis keine derartigen Fälle......

Das soll mit Sicherheit das Problem nicht verharmlosen meinerseits, wobei man nicht vergessen darf, dass Betrügereien an Bankautomaten ( manipulierten Automaten ) mit abgefilmten PINeingaben deutlich höher sind/waren .

Persönlich sehe ich aber auch die Banken im Zugzwang bei derartig hohen Überweisungen, da müssten deutlich höhere Sicherheitsmaßnahmen eingesetzt werden, weil ein knapp 10000€ überweisung würde ich nicht über eine t/online Banking möglichkeit durchführen !

 

[gutzi4u]

Wenn ich all die Berichte zu den Sicherheitslücken richtig gelesen habe, dann läuft doch alles auf manipulierte Videodateien und dubiose apks hinaus.
Vielleicht sollte ich mir dann mal Gedanken machen, ob ich mir wirklich jedes zugeschickte Video (aus mir unbekannter Quelle) anschauen muss. Aber wofür brauche ich dann noch mein Smartphone - ach ja, die tausende lustigen Bildchen - Glück gehabt!

Was mach ich jetzt nur mit den apks aus dem Darknet????


Ok, für alle die die Ironie nicht mitbekommen haben: Natürlich gibt es hier ein Sicherheitsproblem, und ich hoffe auch, dass hier an der Struktur zur Behebung etwas getan wird. Aber das macht noch lange nicht alle Android-Smartphones unbrauchbar! Man muss nur ein wenig mitdenken - oder gibt´s da auch schon eine App für.

 

[HabiXX]

Ich gebe @noplan Recht, so interessant bin ich jetzt auch nicht, dass mich jemand abhören will.
Und die Chance dass ich ein Opfer einer Stagefright-Attacke werde sehe ich auch als sehr gering ein.
Trotzdem möchte ich ein OS haben was up to date ist und einigermaßen sicher ist.

Wie sieht es eigentlich mit Firmenhandys aus? Was sagt denn da die IT Abteilung?

Ich finde es eine Frechheit wie Hersteller und Google uns mit Updates versorgen. Späterstems nach 2 Jahren ist es in der Regel vorbei mit der Versorgung.
Wenn Microsoft den Support von Windows 7 jetzt einstellen würde, dann wäre der Aufschrei groß.

Ich hab ein wirklich tolles Tablet von Samsung, aber nach 2-3 Updates ... kommt nichts mehr.
Mein geliebtes ZTE Smartphone was einen super Akku hat und immer noch für Navigation benutzte... hat 1x ein Update bekommen.
Wegen Intel oder MTK Prozessoren gibt es auch keine Customer ROM

Ich frage mich, warum hier sich so viele mit dieser Update-Politik zufrieden geben.

 

[noplan]

Trotzdem möchte ich ein OS haben was up to date ist und einigermaßen sicher ist.

Daran bin ich natürlich auch interessiert!

 

[saakee]

Frage... Ich hab natürlich keine Ahnung... Aber... Ich meine irgendwo gelesen zu haben, das MMS ja irgendwie mit Hangouts geöffnet werden o.ä.

Ich habe auf meinem Lenovo K3 Note eine Custom Rom drauf und keine Hangouts mehr installiert.

Ist mein Handy jetzt überhaupt noch in Gefahr?

 

[gutzi4u]

Das hat nichts damit zu tun, womit das Video versendet wird. Beim Abspielen nutzt es einen Android-Dienst, der bei eingen Handys unsicher ist. Ob der Dienst in der Custom Rom sicher ist weiß ich nicht. Irgendwo hier im Thread gab es Links zu zwei Tools, mit denen man das Testen kann.

Edit: Hier

 

[altmann]

Ich habe auch eine Online-Banking App auf dem Handy, aber die Kontonummer und die Zugangsdaten findet dort keiner

Hab auch die Sparkasse+ App oder wie das Ding heißt drauf. Und dort auch meine Kontonummern hinterlegt. Aber theoretisch muss man zwei verschiedene Passwörter eingeben, um rein zu kommen. Einmal zum Programmstart, und dann einmal um die Konten einzusehen.
Wenn dann jemand so weit kommt und das schafft, kann er damit aber keine Überweisungen anweisen, sondern nur die Kontostände nach gucken.
Wenn das unbedingt einer bei mir möchte, bitteschön. Kriegt halt jemand Tränen in den Augen

Was ich nicht verstehe, wieso das Thema relativiert und als nicht schlimm abgetan wird. Hilft das einem verunsicherten Smartphone Nutzer?

Es ist ärgerlich, mehr aber auch nicht. Wieso es als "nicht schlimm" abgetan wird? Habe ich doch jetzt schon mehrfach ausgeführt. Du wirst in deinem Leben, wenn du mit IT zu tun hast (also heutzutage eigentlich jeder) immer wieder über Sicherheitslücken "stolpern". Mal kleinere, mal größere. Bis jetzt war noch nie eine Lücke so schlimm, dass sie sich wirklich merkbar auf das Internet bzw. die IT im Allgemeinen ausgewirkt hat. Und das wird hier einfach auch nicht der Fall sein. Will heissen, 99,99% der User werden einfach nix mitbekommen von der Lücke und diese Lücke auch nie nachteilig erleben.

Wie gesagt, Bugs sind ärgerlich, lassen sich aber nicht vermeiden.
Hier hatte schon jemand erwähnt, dass man auf mobilen Devices wie einem Handy eh keine "sicherheitsrelevanten" Informationen speichert, bzw. sich dem Risiko bewusst sein muss. Da hatter absolut Recht!
Das Risiko, dass deine Daten in die falschen Hände gelangen durch Diebstahl, Verlust, etc. würde ich um mindestens den Faktor Zehntausen höher einschätzen als das dir das durch einen dusseligen Bug passiert.

 

[lauterohre]

Ich hätte auch lieber eine ordentliches Betriebssystem das nachgebessert wird.

Ich frage mich, warum hier sich so viele mit dieser Update-Politik zufrieden geben.

Wurde zwar noch nie bei uns eingebrochen, trotzdem sperre ich Abends die Türe zu.

 

[Miss Montage]

@altmann : Google selbst schätzte die Zahl malware-befallener Androiden auf weniger als 0,15 Prozent. Das gilt allerdings nur für die Nutzer, die ausschließlich den Playstore benutzen. 1,5 Geräte auf 1.000 finde ich nicht wenig, vor allem, wenn man das auf Milliarden hochrechnet...

 

[altmann]

@altmann : Google selbst schätzte die Zahl malware-befallener Androiden auf weniger als 0,15 Prozent. Das gilt allerdings nur für die Nutzer, die ausschließlich den Playstore benutzen. 1,5 Geräte auf 1.000 finde ich nicht wenig, vor allem, wenn man das auf Milliarden hochrechnet...

Warum auf Milliarden hochrechnen, wenn max. 950 Millionen Geräte von betroffen sein sollen??
Und wie gesagt, bis jetzt habe ich von noch keiner kriminellen Ausnutzung der Lücke im grossen Stil gelesen..
Und auf "weniger als".. Sehr schwammig. 90% weniger als 0,15%.. Oder eher 3% weniger als 0,15%..

Wie gesagt, die Lücked wird nicht im nenneswerten Bereich ausgenutzt werden, da bin ich mir sicher.

 

[gutzi4u]

Das gilt allerdings nur für die Nutzer, die ausschließlich den Playstore benutzen. 1,5 Geräte auf 1.000 finde ich nicht wenig

Man könnte noch die abziehen, die eine Custom-Rom drauf haben, die nicht befallen ist.
Ich denke, das die meisten von den betroffenen tatsächlich nur den Playstore nutzen, oder Dritt-Apps von seriösen Anbietern.
Wer irgendwelche Apps aus dubiosen Quellen aufspielt, hat sein Handy meist auch gerooted, geflasht, gewasauchimmert....
Was natürlich nicht heißt, dass alle Apps aus dem Playstore sicher sind.

 

[Miss Montage]

@altmann : Die Ziffer bezieht sich nicht auf Stagefright, sondern auf Malware allgemein.
Sie wurde in diesem Frühjahr veröffentlicht. (Hier und hier z.B.)

Ludwig noted over one billion Android devices in use worldwide have security through Google Play "which conducts 200 million security scans of devices per day" and that fewer than one percent of the devices had potentially harmful apps installed in 2014.

For those devices which only use Google Play apps, the rate of potentially malicious apps was less than 0.15 percent, Google said.
Read more at: http://phys.org/news/2015-04-google-android-malware.html#jCp

Wenn es weniger als 0,1 Prozent wären, würde Google bestimmt kein Geheimnis daraus machen.
Ich halte es nach wie vor für eine Frage der Zeit, ob und in welchem Ausmaß der Stagefright Exploit genutzt wird. Die Analogie zum Fahrradschloss habe ich ja bereits gezogen.
@gutzi4u : Wie verbreitet ist der Google Playstore in Asien? Da spielt ja teilweise die Politik mit rein...

 

[altmann]

Wenn es weniger als 0,1 Prozent wären, würde Google bestimmt kein Geheimnis daraus machen.
Ich halte es nach wie vor für eine Frage der Zeit, ob und in welchem Ausmaß der Stagefright Exploit genutzt wird. Die Analogie zum Fahrradschloss habe ich ja bereits gezogen.

Ahhhhh.. Okay, dann sieht die Sache natürlich anders aus. Das wundert mich widerum nicht:

Wer irgendwelche Apps aus dubiosen Quellen aufspielt, hat sein Handy meist auch gerooted, geflasht, gewasauchimmert....

Bei solchen Sachen, dass sind die gefährlichen Einfallstore. Stagefright nicht.. Viel schlimmer sind die Sachen, welche User auf dubiose Wege oder komische "Stores" installieren. Dieser Probleme sind dann aber hausgemacht.

Es ist nur ein paar Tage her, da habe ich hier im Forum von einem User gelesen, dass er es zwar nicht schafft, den offiziellen Play Store zu installieren, sich aber als alternative den "Black Market" installiert hat. Dort konnte man leider rauslesen, dass der User seeehr wenig Ahnung von der Materie hat. Solche Leute installieren dann aber mal munter drauf los und wundern sich hinterher, dass sie sich Malware eingefangen haben.

Diese Dinge sind viel gefährlicher wie irgendwelche Systembugs..

 

[gutzi4u]

Diese Dinge sind viel gefährlicher wie irgendwelche Systembugs..

Darauf wollte ich hinaus. Ich will die Android-Probleme nicht klein reden, aber sie sind mMn auch nicht so gefährlich wie (auch hier) häufig dargestellt wird. Da machen sich weitaus mehr Leute eigene Problem.

Mein Honor 6 ist ja auch betroffen. Ich werde mal die Lollipop Beta aufspielen, wenn ich Zeit habe. Wäre natürlich schön, wenn da der Bug schon behoben wäre. Wenn nicht, besteht ja Hoffnung, dass es bis zur Final-Version gefixt wird.

Bis dahin, wie oben schon geschrieben, Kopf einschalten.

 

[Miss Montage]

Klar, die "brain.apk" sollte immer laufen !

 

[gutzi4u]

"brain.apk"

Sehr schön!