X-Ray durchleuchtet Android nach Sicherheitslücken

Im Google Play Store tummeln sich ja bereits unzählige „Virenscanner-App“. Von bekannten Marken wie Kasppersky, Norton, G-Data, AVG oder Avast bis hin zu neuen Unternehmen wie Lookout bieten zahlreiche Hersteller Sicherheits-Apps, die bei der Suche nach maliziösen Apps oder auch bei Diebstahl/Verlust des Handys helfen sollen. Man kann von den Lösungen halten was man will, viele Funktionen sind übliches Snake-Oil, manche Funktionen wie bspw. das Sperren/Wipen über das Netz bei Verlust sind aber  auch sinnvoll. Doch keine Sicherheits-Lösung packt das eigentliche Problem bei der Wurzel an: Exploits auf dem Handy finden. Sämtliche Anti-Malware-Apps durch suchen die installierten Anwendungen nach bekannter Malware, aber keine prüft das System auf bekannte Sicherheitslücken. Der Exploit-Scanner X-Ray macht jedoch genau das, die App ist sogar zu scharf für den Google Play Store.

Das Prinzip eines simplen Vulnerability Scanners ist eigentlich recht trivial. Man recherchiere welche Schwachstellen in einem System auftreten können, man forscht wie man diese Schwachstellen erkennt und letztendlich packt man diese Erkenntnisse in eine Anwendung, die das System auf diese Schwachstellen untersucht. Am besten ist natürlich, wenn man anschließend am Ball bleibt und die neustes Exploits mit in die Anwendung packt.

Unter Linux gibt es mit Backtrack zum Beispiel eine ganze Spezial-Distribution, die sich um Vulnerability Scanner und Penetration Tests dreht. Für Android ist mir gestern X-Ray für Android über den Weg gelaufen, das Programm scannt Android-Smartphones oder -Tablets auf bestimmte Exploits, die in der Vergangenheit ihre Runde gemacht haben und von maliziösen Apps auch ausgenutzt wurden. Findet X-Ray eine Schwachstelle, dann gibt das Programm bescheid und liefert weitere Details zur erkannten Lücke.

Ich habe alle mir verfügbaren Systeme einmal mit X-Ray scannen lassen, sowohl auf meinem Samsung Galaxy Nexus mit Jelly Bean, wie auch auf einem HTC Velocity LTE konnten keine Schwachstellen von X-Ray aufgedeckt werden. Nur auf einem älteren Motorla Defy mit CyanogenMod 7.1.0 konnten mit ZergRush und Levitatior doch zwei recht weitreichende Exploits aufgedeckt werden.

Die größte Frage ist natürlich, was man nun machen soll, wenn X-Ray Schwachstellen meldet. In seiner FAQ empfiehlt X-Ray das Handy-System auf Updates zu überprüfen und diese auch einzuspielen, in der Hoffnung dass der Hersteller die Lücken auch geschlossen hat. Ansonsten bleibt einem als Kunde wenig übrig, ich vermute mal stark, dass eine Kontaktaufnahme mit dem Support des Herstellers wenig bringen wird. Vielleicht höhlt steter Tropfen allerdings auch den Stein und die Smartphone-Hersteller kommen mal in die Pötte und stopfen die Löcher in ihren Systemen.

X-Ray findet ihr nicht im Google Play Store, da Google Anwendungen untersagt, die aktiv nach Schwachstellen suchen. Obwohl X-Ray also nichts böses antreibt, darf die App nicht über den Play Store verteilt werden. Ihr müsst die APK-Datei daher von Hand herunterladen und installieren, auf der Homepage www.xray.io findet Ihr allerdings auch einen Barcode, der direkt auf das Android-Paket zeigt, so dass die Installation auch ohne Play Store simpel ist.

Um Statistiken zu Sammeln welcher Hersteller welche Lücken in seinen Systemen ungepatcht lässt, telefoniert X-Ray die gefundenen Exploit-Möglichkeiten nach Hause. Die übermittelten Daten beinhalten das Versions-Nummer des Systems, den Hersteller und das Modell des Handys, eine zufällig erzeugte ID und natürlich auch die gefundenen Schwachstellen. Die Entwickler möchten die gesammelten Daten dazu nutzen, Druck auf Provider und Hersteller auszuüben, ihrer Verantwortung nachzukommen und gefährdete Geräte mit Updates zu versorgen.