FireEye: 150 Millionen heruntergeladene Android-Apps von Heartbleed betroffen

Die Experten von FireEye haben herausgefunden, dass rund 150 Millionen heruntergeladene Android-Apps aufgrund der enthaltenen OpenSSL-Bibliotheken über die Heartbleed-Schwachstelle angreifbar sind.

Zwar finden sich im Playstore mittlerweile 17 Scanner, die das System auf die Anfälligkeit für die Schwachstelle untersuchen, davon überprüfen allerdings lediglich sechs neben der ins Betriebssystem integrierten Bibliothek auch jene bereits installierten Apps, was nach Angaben von FireEye zudem unzureichend geschieht: Zwei dieser Scanner waren nicht in der Lage, definitiv betroffene Apps als solche zu erkennen.

FireEye hat diese Art des Angriffs, bei welcher der Datenverkehr an einen entsprechend präparierten Server umgeleitet wird, bereits erfolgreich getestet und war folglich in der Lage, Daten auszulesen, obwohl das Betriebssystem selbst nicht angreifbar war. Android selbst ist ohnehin nur in den wenigsten Fällen direkt angreifbar, da die Schwachstelle in den meisten Versionen entweder gar nicht erst integriert, oder aber deaktiviert ist.

Glück im Unglück: Überwiegend von der Schwachstelle betroffen sind Spiele, die in der Regel nur bedingt sensible Daten enthalten, sowie Office-Anwendungen, deren Inhalte zwar meist sensibler sind, die ihren Kopf in vielen Fällen aber selbst aus der Schlinge ziehen: Durch eine fehlerhafte Verknüpfung oder gänzlich funktionslosen Code greifen diese statt auf die eigene OpenSSL-Bibliothek auf jene, meist unbetroffene von Android zurück.

Fast schon besorgniserregender sind die Heartbleed-Scanner selbst, die ihren Namen in den meisten Fällen zu Unrecht tragen: Keine der verfügbaren Apps arbeitete dabei absolut zuverlässig, nur zwei lieferten zwar brauchbare, aber dennoch falsche Ergebnisse, da sie unbetroffene Apps als gefährdet einstuften – vor dem Hintergrund, dass einige Apps statt Ergebnisse lediglich Werbung anzeigten ein Umstand, mit dem man leben kann.

FireEye hat die Entwickler solch gefährdeter Apps natürlich auf die Problematik hingewiesen, worauf einige bereits mit entsprechenden Updates reagiert haben: Waren am 10. April noch etwa 220 Millionen Downloads betroffen, fanden sich am 17. April „nur noch“ 150 Millionen.