Adups: China-Billighandys spionieren ihre Nutzer ab Werk aus

[Knecht_Ruprecht]

Ich verlinke hier mal auf einen Artikel von heise security mit dem Thema Spionage bei Chinahandys. Nur für den Fall, dass es manche nicht mitbekommen:
https://www.heise.de/security/meldung/Adups-China-Billighandys-spionieren-ihre-Nutzer-ab-Werk-aus-3486446.html?wt_mc=rss.security.beitrag.atom

Den meisten hier wird bekannt sein, dass es schon ähnliche Fälle gab, insbesondere auch was manipulierte Shop Firmwares angeht. Da allerdings mit dem Fokus auf Werbespam, bei Adups geht das offensichtlich weit darüber hinaus.

Ich bin mal gespannt, ob es Möglichkeiten geben wird, sein eigenes Gerät wirksam auf solche Schnüffelsoftware zu untersuchen. Würde mich deutlich mehr beruhigen als die Eigenaussage des Herstellers das über ein OTA Update deaktiviert zu haben.

 

[Chocoball]

Huawei ist auch Kunde von Adups aber ich denke nur das BLU mit einem OTA Update kommt weil die in jedes Pressebericht genannt werden. Von Huawei und ZTE erwarte ich auf ältere Modellen wie P7 und P8 kein OTA Update um das zu beheben. Xiaomi war letztlich auch negativ in die Nachrichten, weil es gibt eine Push App die ohne Zertifikaten arbeitet und damit kann man einfach unerlebt etwas installeren. Dazu gibt es ein China Werbung App. Xiaomi.eu haben auf ihren ROMS die Push App erfernt.

 

[Antiheld]

Bei Homtom HT7 Pro ist mir auch was in der Art aufgefallen(es gab regelmässig Peaks in Akkuverbrauch und Datenverbrauch), das hat sich aber nach Deinstallation einiger Apps gegeben.
Apple ist da weiter, die verkaufen das als Feature (Stichwort "Cloud") ;-)

 

[Brooklyn701]

Wenn man Root hat kann man die entsprechenden Zweige Stillegen. Ich habe mal nachgesehen und auf meinen 4 Chinahandys ist nirgends einer dieser Prozesse zu finden mit Root.

Somit halte ich das was im Artikel geschrieben wird für wahr, aber die Überschrift ist reißerisch und es erweckt schnell den Eindruck beim Lesen, alle "Chinahandys" seien befallen. Samsung (und die guten von den Teleblödel Unternehmen in der EU GmbH) Handys natürlich nicht betroffen....

Also ich habe da so meine Bedenken...

 

[Unbroken]

Sehe ich auch so, mal wieder heisse Luft! Und massig bescheuerte Bloatware habe ich auf vielen Markenhandys gefunden, die ich für Leute eingerichtet habe!

Teilweise deaktiviere ich auf solchen Phones 10-12 Apps die Normalo Nutzer gar nicht brauchen und wollen, und Platz nimmt der Kram auch weg!

Tja und wie wie viele Leute nutzen Apps von Cheeta Mobile (Quick Pic, Browser etc) und wissen gar nicht wie der Apps der Werbeschleuder lustig nach Hause telefonieren

 

[Gast123]

Unter der heise-Überschrift sollte stehen "Dieser Artikel wurde Ihnen präsentiert von Apple und Samsung".

OK, wenigstens machen die mittlerweile eine rudimentäre Differenzierung durch die Einschränkung "Billighandies"

Es hilft zwar nicht, einen Fehler besser machen zu wollen, indem man andere Fehler hervorhebt, aber Windows 10 ist momentan die größte Datenschleuder in der IT, da sind alle Smartphone-Datensammlungen Kleinvieh dagegen, und keiner meckert groß darüber. Siehe z.b. hier und hier.

Zitate:

"Windows 10 schickt so detaillierte Informationen nach Hause, dass der Einsatz in Firmen illegal sein könnte.

...übermittelt Windows 10 detaillierte Informationen über die Systemnutzung an die US-Server von Microsoft.

Ob sich im Firmeneinsatz Windows 10 überhaupt gesetzeskonform konfigurieren lässt, fragen sich deutsche Datenschützer mittlerweile.

...übermittelt das Betriebssystem persönliche Daten etwa zur Softwareinstallation, die Adressen der vom Webbrowser Edge aufgerufenen Webseiten, Suchanfragen an Bing und sogar die Klickpfade der Office-Software an Microsoft."

Die wissen also viel besser als Deine Frau oder Dein Mann, welche 'interessanten' Webseiten Du nachts, äh, versehentlich anklickst.

 

[Tobee]

Daten sind eben ein Riesengeschäft und jeder will mitverdienen.

 

[Ausgelebt]

Ich hoffe Lieferando hat meinem Stammchinesen nicht mitgeteilt, dass ich letztens bei einem anderen Lokal bestellt habe

 

[Chocoball]

Und es gibt wieder was über China Smartphones wieder von BLU aber auch von Leagoo und Doogee wegen der OTA und MITM Angriff.
http://blog.anubisnetworks.com/blog/ragentek-android-ota-update-mechanism-vulnerable-to-mitm-attack

Nur ist die Liste mit getroffen Smartphones nicht sehr neu oder? Doogee DG310 ist schon aus 2014 z.B.

• BLU Studio G
• BLU Studio G Plus
• BLU Studio 6.0 HD
• BLU Studio X
• BLU Studio X Plus
• BLU Studio C HD
• Infinix Hot X507
• Infinix Hot 2 X510
• Infinix Zero X506
• Infinix Zero 2 X509
• DOOGEE Voyager 2 DG310
• LEAGOO Lead 5
• LEAGOO Lead 6
• LEAGOO Lead 3i
• LEAGOO Lead 2S
• LEAGOO Alfa 6
• IKU Colorful K45i
• Beeline Pro 2
• XOLO Cube 5.0

 

[guesa]

Ihr solltet das Thema nicht zu leicht nehmen. Tatsächlich spionieren sie uns aus. Der Betrug geht sogar soweit, dass die app- Berechtigungen, die man setzen kann, völlig ignoriert werden.

Ich zeige euch ein Beispiel von Elephone:

Das Lesen von SMS ist lt. Den Einstellungen eindeutig verboten, der LOG - file der betreffenden APP zeigt aber genau das Gegenteil.

Warum ist das so gefährlich?

Z.B. wenn man Homebanking oder PayPal in der Weise macht, dass Freigabecodes per SMS auf das Handy übertragen werden, gelangt der Spion so schon mal an drei wichtige Informationen:

a) bei welcher Bank hat der Elephone Nutzer ein Konto
b) mit welcher Mobilfunknummer ist die Zahlungsfreigabe verknüpft
c) wie lautet die Geräte-ID des Smartphones

Hier der Beweis

 

[Kenjo]

Das ist natürlich keine schöne News, aber ich denke bzw. hoffe jeder, der sich ein Chinahandy zulegte und sich hier beraten ließ, hat sich – wie es sich für einen Bastler abseits von Samsung und Co. gehört – vom Bloatware-Stock-Rom verabschiedet und direkt nach Erhalt eine entsprechende Firmware geflasht. Seit dem SP Flashtool ist das so einfach wie nie zuvor.

Wobei das von @guesa wirklich harter Tobak ist!

 

[Youngn]

Wenn man Root hat kann man die entsprechenden Zweige Stillegen.

Wie bzw. welche App??

@guesa
Da steht ja das es am 18.11. ausgelesen hatte (!), war das vor oder nach der Beschränkung??

 

[guesa]

Ich möchte es noch mal klar sagen: es handelt sich um ein original Elephone P8000 mit einer sauberen Firmware , wie es ausgeliefert wurde von Elephone mit 1 oder 2 OTA's bisher. Nix wurde daran gemacht, weder gerootet noch geflashed.

Ich finde aber, dass ein Phone in diesem werksnahen Zustand nicht APP permissions dem User vorgaukeln sollten, die gar nicht wirksam sind. Viele nutzen ein Phone so und müssen auch nicht flashen ( das kann ich schon lange). meine Konsequenz ist einfach .

Elephone fliegt bei mir raus![DOUBLEPOST=1479505932,1479505721][/DOUBLEPOST]@Youngn die App Beschränkung (deny) ist schon lange drin, der 18. 11. kommt allein daher, dass die APP heute mal wieder die SmS ausgelesen und gesendet hat

 

[Poppeye]

Die W2 app gehört doch zur Smartwatch. War die von vornherein installiert?

 

[Tobee]

Ich möchte es noch mal klar sagen: es handelt sich um ein original Elephone P8000 mit einer sauberen Firmware , wie es ausgeliefert wurde von Elephone mit 1 oder 2 OTA's bisher. Nix wurde daran gemacht, weder gerootet noch geflashed.

Ich finde aber, dass ein Phone in diesem werksnahen Zustand nicht APP permissions dem User vorgaukeln sollten, die gar nicht wirksam sind. Viele nutzen ein Phone so und müssen auch nicht flashen ( das kann ich schon lange). meine Konsequenz ist einfach .

Elephone fliegt bei mir raus![DOUBLEPOST=1479505932,1479505721][/DOUBLEPOST]@Youngn die App Beschränkung (deny) ist schon lange drin, der 18. 11. kommt allein daher, dass die APP heute mal wieder die SmS ausgelesen und gesendet hat

Gibt zwei Möglichkeiten die beide nicht gut sind.

1. Ele ist zu dumm um eine funktionierende Software zu programmieren bzw. hat die Funktionen nicht ausgiebig getestet. Das halte ich bei einer "Hinterhofklitsche" durchaus für möglich.

2. Ele hat dies mit voller Absicht gemacht um sich Userdaten zu verschaffen um an den Handys noch kräftig weiter zu verdienen. Auch sehr gut vorstellbar. Wie war das letztens mit diesem Browser "Sicherheits Plugin"?

Wie kann man feststellen ob was gesendet wurde?

 

[Unbroken]

Auf meinem Vowney Lite ist nix davon drauf, keine Updates kann auch ganz praktisch sein....

Auf der anderen Seite, muss man auch wieder die Naivität vieler Smartphone Nutzer bedenken!!
Man hat Facebook, Whatapp, Banking, PayPal, Tan per SMS auf dem Handy möglichst noch ne ganze Menge Spiele, Apps von Cheetah Mobile usw und bei der ganzen Bequemlichkeit und Zentrierung solch sensibler Daten, ist man dann voll entsetzt, wenn solche Nachrichten auftauchen!

Natürlich ist es Shice dass Elephone den Spy Dreck ins System packt, gar keine Frage......aber der User ist auch selbst Schuld PP und Banking unbedingt übers Smartphone verwalten zu müssen, sofern das zu umgehen ist, sollte man das auch tun!
Ich nutze seit Jahren einen Tan Generator, habe noch nie eine Tan per SMS bekommen! Noch nie PayPal oder eine Banking App auf dem Handy gehabt. Weil ich meine Handys grundsätzlich roote und schon allein das ist ein sehr guter Grund, meine finanziellen Dinge nicht übers Handy zu regeln.... usw

Sollte also jeh eine Spyapp meine SMS ausgelesen haben, so hat der Chinese nur erfahren, dass mein Aldi Talk Guthaben demnächst wieder aufgeladen werden muss....ok, viel Spass mit dieser Info!

 

[AltF4]

Wo genau ist jetzt der Unterschied zwischen dem was Google, Sony oder Amazon machen? Letztlich wäre es doch nur wichtig die betroffenen Dateien zu identifizieren und zu entfernen bzw. auszutauschen.

Gesendet von meinem Pixel XL mit Tapatalk 2

 

[Ausgelebt]

Wie das Ganze wohl aussieht wenn der ISP Nutzerdaten ausliest :O

 

[altmann]

Gähn.. Das Thema wird auch alle paar Wochen hier durchgekaut, schmeckt schon nach altem Kaugummi.

Nur ändert sich einfach nix dran: Wer Angst um seine Daten hat, darf kein Smartphone - wahrscheinlich noch nicht einmal einen normalen PC - nutzen.
Ist das heutzutage praktikabel? Nein.. Deswegen muss man imho einfach mit den Risiken leben und kann sie höchstens versuchen zu minimieren.

Leben ist halt gefährlich..

 

[guesa]

ie W2 app gehört doch zur Smartwatch. War die von vornherein installiert?

Nein die APP für die Elephone W2 Smartwatch wurde erst vor ein paar Wochen installiert, um die W" nutzen zu können

Wie kann man feststellen ob was gesendet wurde?

Sicher gibt es dafür mehrere Möglichkeiten. Ich nutze die SRT Appguard light. In der light Version kann man bis zu 5 Apps überwachen lassen. Google hat die APP aus dem Playstore verband, wohl wissend warum, denn für die App gabs den IT-Sicherheitspreis. Hier aber ein paar Infos. Man kann die APP trotzdem beim Hersteller downloaden.

http://www.horst-goertz.de/warum-ein-preis-fuer-deutsche-it-sicherheit/was-wird-ausgezeichnet/preistraeger-2014/preistraeger-2014-3-preis-srt-appguard/

@Unbroken

ich wollte eigentlich keine Diskussion entfachen, die wieder darin mündet " der User ist doch selber Schuld ", sondern das Problem aufzeigen, welches folgendes ist:

a ) eine Hersteller-APP ( Hier Elephone W2 Smartwatch) nutzt Berechtigungen, die sie niemals für den den eigentlichen Zweck benötigt und die sicherheitslevant sind

b ) Das Elephone eigene APP-Permission wird umgangen in der Weise, dass es möglich ist, daß trotz Verbot durch den User ständig Daten aus dem Smartphone nach China gesendet werde. Wenn man das nicht weiter überprüft und vertraut Elephone, kann man fatale Probleme bekommen.

Zur Info : Meine Whatsapp App wird von den App Permission des P8000 zuverlässig beschränkt, nicht aber die APP für die Elephone Smartwatch. Die sendet, was sie will und niemals braucht.

Nachtrag, die Banking Geschichte war nur ein Beispiel und jeder weiß, daß man hier PC und Handy absolut trennen sollte, indem man niemals mit dem Smartphone Bankanwendungen öffnet, über welches man auch die Mobile TANS erhält. Aber über den PC Zahlungen zu veranlassen, deren TAN man über das Smartphone erhält ist ein zulässiges Verfahren, was millionenfach genutzt wird. Allerdings sollte dann das Smartphone einen Mindestsicherheitsstandard bieten. Die TAN sind ja auch nur ein Beispiel, jeder liest ja heute über sein Phone auch eMails usw.

Klagen wir doch lieber Elephone an, statt die User!