De Bluetooth-implementatie in verschillende versies van Android laat hackers toe om toestellen te infecteren zonder dat slachtoffers daar iets voor moeten doen. Bluetooth activeren kan al voldoende zijn.
Een bug in de Bluetooth-implementatie in Android 9 en 10 maakt toestellen kwetsbaar voor een kritieke aanval waarbij een telefoon zonder medeweten van het slachtoffer wordt gehackt. Het lek werd ontdekt door het Duitse beveiligingsbedrijf ERNW. Google is op de hoogte van het probleem en rolde al een patch uit. Omwille van de gedecentraliseerde werking van Android zijn gebruikers echter afhankelijk van de updateprocedures van de fabrikant van hun toestel. Eén van de grootste problemen met het besturingssysteem vandaag is het gebrek aan urgentie dat bij sommige fabrikanten heerst.
Eigen code uitvoeren
ERNW heeft de technische details van het lek nog niet gepubliceerd, maar plant dat wel snel te doen. Verder zullen de beveiligingsonderzoekers van het bedrijf ook proof-of-concept-code lanceren om te demonstreren hoe de door hen gevonden bug werkt. Zodra die code live staat, kan je er vanop aan dat hackers ze zullen misbruiken. De kans is groot dat niet ieder kwetsbaar toestel tegen dan een update heeft gekregen.
Het lek in kwestie kreeg de noemer CVE-2020-0022 mee. Het laat aanvallers toe om in alle stilte eigen code uit te voeren op een doelwit met de privileges van een Bluetooth-daemon. Om de bug uit te buiten, moet een aanvaller uiteraard binnen Bluetoothbereik van het slachtoffer zijn. Verder dient Bluetooth aan te staan, wat bij de meeste moderne toestellen standaard het geval is. Tot slot moet de telefoon zichtbaar zijn. Die voorwaarde biedt de beste bescherming, aangezien de meeste toestellen slechts zichtbaar zijn voor externe apparaten wanneer je zelf actief bent in het Bluetooth-menu. Dat is echter niet bij alle telefoons het geval. Tot slot heeft de aanvaller het Bluetooth-macadres van het doelwit nodig.
Wormvirus
Een zichtbaar toestel infecteren is vervolgens niet moeilijk. Volgens de onderzoekers is het perfect mogelijk om een wormvirus te bouwen dat zich via Bluetooth van toestel naar toestel verspreidt. Het virus zou persoonlijke informatie kunnen stelen. Android 8 en 9 zijn kwetsbaar, bij Android 10 crasht de Bluetooth-daemon wanneer de aanval wordt uitgevoerd en is er dus geen groot risico. Vermoedelijk zijn ook oudere versies van Android kwetsbaar, maar daarop testte ERNW de aanval niet.
Het is niet de eerste keer dat Bluetooth een vector is voor aanvallers. Lees bijvoorbeeld: Kwetsbaarheid in Bluetooth-standaard laat hackers meeluisteren, over een bug die een half jaar geleden ontdekt werd.