BSI warnt vor IT-Geräten mit vorinstallierter Schadsoftware

"Einmal mehr zeigt sich an diesem Fall ganz deutlich, dass der Preis oder technische Features allein  kein Kriterium für eine Kaufentscheidung sein dürfen. Die Anwenderinnen und Anwender zahlen sonst möglicherweise mit ihren Daten oder durch betrügerische Aktivitäten deutlich drauf."
"Einmal mehr zeigt sich an diesem Fall ganz deutlich, dass der Preis oder technische Features allein  kein Kriterium für eine Kaufentscheidung sein dürfen. Die Anwenderinnen und Anwender zahlen sonst möglicherweise mit ihren Daten oder durch betrügerische Aktivitäten deutlich drauf."

BSI warnt vor IT-Geräten mit vorinstallierter Schadsoftware

Bonn, 26. Februar 2019. Auf Tablets und Smartphones, die über Online-Plattformen auch in Deutschland gekauft werden können, kann sich vorinstallierte Schadsoftware befinden. Das hat das Bundesamt für  Sicherheit in der Informationstechnik (BSI) zunächst an einem Tablet nachgewiesen . Zur Info >> PDF

Das BSI warnt vor dem Einsatz dieses Geräts auf Grundlage von §7 des BSI-Gesetzes und rät allen Anwenderinnen und Anwendern zu besonderer Vorsicht. Im Zuge der Analyse sind zudem weitere Geräte  unterschiedlicher Hersteller aufgefallen, für die die auf der jeweiligen Hersteller-Webseite bereitgestellte Firmware die gleiche Schadsoftware enthält.

Konkret hat das BSI über die Online-Plattform amazon im Januar und Februar 2019 das Tablet Eagle 804
des Herstellers Krüger&Matz, das Smartphone S8 Pro des Herstellers Ulefone und das Smartphone A10  des Herstellers Blackview bestellt und in der Folge analysiert.

Dabei konnte nachgewiesen werden,  dass das Tablet Eagle 804 im Auslieferungszustand über eine
vorinstallierte Schadsoftware mit einem  bekannten Command&Control-Server Kontakt aufnimmt. Bei den Smartphones Ulefone S8 Pro und Blackview  A10 konnte im aktuellen Auslieferungszustand (Firmwareversion  V3EG62A.JKE.HB.H.P3.0711.V3.05_20180711-1021 (Blackview A10), Firmwareversion  F9G62C.GQU.Ulefone.HB.H.SSXSJS5MHMYP1HK.042 (Ulefone S8 Pro)) keine Schadsoftware nachgewiesen
werden.

Die Hersteller bieten jedoch auf ihren Webseiten als einzige Variante eine Firmware mit niedrigerer Versionsnummer zum Download an, in der diese Schadsoftware enthalten ist. Es ist daher davon auszugehen, dass mit diesen Firmwareversionen ausgelieferte Geräte ebenfalls betroffen sind.

Ursprünglich hatte die Firma Sophos über entsprechende Infektionen bei Ulefone S8 Pro Geräten  berichtet und die Funktionalitäten des Schadprogramms analysiert.

Dem BSI liegen zudem sogenannte Sinkhole-Daten vor, die über 20.000 Verbindungen unterschiedlicher  deutscher IP-Adressen pro Tag mit diesem maliziösen C&C-Server nachweisen. Es muss daher von einer  größeren Verbreitung von Geräten mit dieser Schadsoftwarevariante in Deutschland ausgegangen  werden.

Das BSI hat deutsche Netzbetreiber bereits mittels CERT-Bund Reports  (https://reports.cert-bund.de/schadprogramme) über infizierte Geräte in deren jeweiligen Netzen informiert. Die Provider wurden gebeten, ihre betroffenen Kunden entsprechend zu benachrichtigen.

Die von Sophos als “Andr/Xgen2-CY” bezeichnete Schadsoftware übermittelt ad hoc verschiedene  kennzeichnende Daten des Geräts an den C&C-Server und verfügt daneben auch über eine  Nachladefunktion. Darüber könnten weitere Schadprogramme wie etwa Banking-Trojaner auf den  jeweiligen Geräten platziert und ausgeführt werden.

Eine manuelle Entfernung der Schadsoftware ist  aufgrund der Verankerung im internen Bereich der Firmware nicht möglich. Für die Geräte mit  maliziösen Firmwareversionen wurden zum Untersuchungszeitpunkt keine
Firmwareupdates angeboten.

Nutzerinnen und Nutzer haben daher keine Möglichkeit, die Geräte zuverlässig zu bereinigen und ohne Schadfunktionalität zu betreiben.

“Einmal mehr zeigt sich an diesem Fall ganz deutlich, dass der Preis oder technische Features allein  kein Kriterium für eine Kaufentscheidung sein dürfen. Die Anwenderinnen und Anwender zahlen sonst möglicherweise mit ihren Daten oder durch betrügerische Aktivitäten deutlich drauf.

Um eine fundierte Kaufentscheidung treffen zu können, sind die Anwenderinnen und Anwender auch auf eine
transparente Darstellung der Sicherheitseigenschaften angewiesen. Hier sind die Händler gefordert.
Sie müssen auch dafür Sorge tragen, dass solche Geräte gar nicht erst in den Markt kommen.

Wir haben die Hersteller der Geräte über unsere Erkenntnisse informiert und sie aufgefordert, geeignete  Maßnahmen zu treffen, um die Sicherheit ihrer Kundinnen und Kunden wiederherzustellen. Mehr ist dem  BSI derzeit nicht möglich”, so BSI-Präsident Arne Schönbohm.

Was Käuferinnen und Käufer der o.g. Geräte jetzt tun sollten und worauf alle IT-Nutzerinnen  und -Nutzer beim Kauf von IT-Geräten beachten sollten, hat das BSI unter www.bsi-fuer-buerger.de  zusammengefasst.

Amazon hat gegenüber dem BSI angegeben, die drei genannten Geräte nach der Kontaktaufnahme durch das  BSI gegenwärtig aus dem Sortiment genommen zu haben.

Quelle: Pressemeldung BSI