Mobile Viren – Hype oder echte Bedrohung?

Issured at : 01/08/2005 By securitymanager.de

Eine Gruppe von Forschern hat das Risikopotenzial mobiler Viren unter die Lupe genommen. Den Erkenntnissen zufolge stehe diese kurz vor dem Durchbruch.

Mobile Systeme wie Notebooks, PDAs und - immer mehr im Trend - Smartphones sind aus der aktuellen Geschäftswelt nicht mehr wegzudenken. Wurde anfänglich im Wesentlichen mobil telefoniert, wird es immer mehr zur Selbstverständlichkeit, Daten von unterwegs zu synchronisieren, zu versenden oder über Internet auf das mobile Endgerät zu laden.

Einige Zahlen: Laut Computer Industry Almanac betrug die Zahl der weltweit installierten Notebooks 2004 etwa 200 Millionen, in Sachen PDAs zählt Gartner für Q1 2005 weltweit 3,4 Millionen verkaufte Geräte, davon 55% mit Wireless Lan- oder Telefonie-Fähigkeit. Während laut IDC die Verkaufszahlen von PDAs in den letzten Quartalen zwar rückläufig sind (der PDA-Markt im ersten Quartal 2005 schrumpfte um 12,1 Prozent), verzeichnen Smartphones eklatante Absatzsteigerungen.

Smartphones, die Konvergenz zwischen Computer und mobilem Telefon, können nicht nur telefonieren und SMS oder MMS versenden, sondern auch auf Netzwerke zugreifen, E-Mails empfangen und versenden oder sogar Office-Dokumente verarbeiten. Oft ist das Smartphone gleichzeitig Digicam, MP3-Player oder sogar GPS-Empfänger. Der Verkauf dieser intelligenten Geräte stieg im dritten Jahr in Folge mit 135 Prozent um über hundert Prozent auf weltweit 8, 4 Millionen Stück. Bis Ende 2008 erwartet IDC weltweit eine Verbreitung von etwa 130 Millionen Smartphones, ABI Research schätzt, dass 2010 jedes fünfte Handy ein Smartphone sein wird.

Mobile Viren

Doch bringen die mobilen Endgeräte nur Segen oder geht von ihnen gleichzeitig eine neue Gefahr aus? Die Frage nach der Sicherheit dieser Systeme selbst, aber auch die der involvierten Firmennetzwerke bleibt nicht aus. Das Gros aller Unternehmen sind mittlerweile sensibilisiert für das Thema IT-Security und haben für ihre internen IT-Lösungen entsprechende Schutzvorkehrungen getroffen. Doch Smartphones und andere mobile Engeräte machen aus begrenzten Unternehmen grenzenlose Unternehmen und erfordern damit das Überdenken bestehender Schutzmechanismen. Schließlich muss das fundamentale Sicherheitsprinzip die Triade „Verfügbarkeit – Vertraulichkeit – Integrität“ auch in Zeiten zunehmender Mobilisierung gewährleistet bleiben. Dass mobile Geräte für Virenautoren attraktiv sind, beweisen die ersten Malware-Vertreter für diese – Viren, Würmer und Trojaner, die in den letzten Monaten entdeckt wurden. Die bisherigen Smartphone-Schädlinge wie der Wurm Cabir, der Trojaner Skulls oder der Gavno-Virus gehen ursprünglich auf so genannte "Proof-of-Concept"-Entwicklungen zurück, mit denen Hacker "nur" die prinzipielle Angreifbarkeit eines Betriebssystems unter Beweis stellen wollen. Doch der Weg zu Viren, die zu massiven, finanziellen Schäden führen, indem sie beispielsweise selbständig kostenpflichtige SMS-Dienste abonnieren oder unaufgefordert teure Telefonverbindungen aufbauen, ist nicht weit.

Marktanteile locken Virenschreiber

Betrachtet man eine Plattform aus Sicht der Virenschreiber, kann von einer „Attraktivitäts-Triade“ gesprochen werden: „Verbreitung – Offenheit – Sicherheitslücken“. Handys arbeiten üblicherweise unter einem proprietären Betriebssystem des jeweiligen Herstellers, während bei Smartphones standardisierte Betriebssysteme zum Einsatz kommen, die auf verschiedenen Gerätetypen gleichermaßen funktionieren und somit eine größere Verbreitung haben. Je weiter ein Betriebssystem verbreitet ist, je offener es für die Installation von Drittanbieterprogrammen gehalten wird und je mehr Angriffsflächen es in Form von Sicherheitslücken bietet, desto mehr Hacker und Virenschreiber werden sich daran versuchen.

Im dritten Quartal 2004 liefen 50,2% aller Smartphones unter dem Betriebssystem Symbian – dem konsequenterweise zur Zeit am häufigsten attackierten Smartphone-Betriebssystem – 20,2% unter Pocket PC und 16,9% unter Palm OS. Um ihren Kunden vielfältige Möglichkeiten zu offerieren, bieten die meisten Smartphone-Hersteller Partnern und Lizenznehmern diverse Application Programming Interfaces (APIs) sowie Software Development Kits und unterstützen zur Entwicklung von Zusatzapplikationen Standardsprachen wie C++ und Java. Die Kehrseite der Medaille: auch Entwickler von Malware nutzen diese Offenheit für ihre Zwecke.

Zusammengefasst lässt sich sagen, dass das Risiko neben hohen Marktanteilen des Betriebssystems mit zunehmender Leistungsfähigkeit, einer großen Anzahl von Drittapplikationen sowie einem weit verbreiteten Wissen zur Programmierung steigt. Das Smartphone-Betriebssystem Symbian hat es vor allem seinen hohen Marktanteilen zu verdanken, dass es zur Zeit das beliebteste Ziel mobiler Attacken ist. Zur oben genannten Attraktivitäts-Triade gesellt sich im Fall der mobilen Endgeräte noch ein weiterer, nicht zu unterschätzender Faktor hinzu: Smartphones greifen per Definition auf ein schnelles Verbreitungsmedium zurück, über das der Schadcode schnell in LANs, WLANs und das Internet gelangen kann.

Auf die kritische Masse vorbereiten

Je weiter also die Entwicklung und Verbreitung von Smartphones voranschreitet, desto wichtiger wird es, sich über sicherheitsrelevante Gegebenheiten Gedanken zu machen. Und zwar im Vorhinein, bevor die kritische Masse an Smartphone-Verkäufen erreicht und damit die Gefährdung potenziert ist. Geschieht dies nicht, können die Folgen mannigfaltig sein: ungewollte Zugriffe auf Firmennetzwerke mit häufig nicht vorhersehbaren Konsequenzen sowie hoher Supportaufwand für die betroffenen Anwender. Für Provider kann ein - aus Sicht der Schadcode-Autoren - gelungener Virenbefall zum Zusammenbruch von Netzwerken, extrem hohem Support-Aufwand für die betroffenen Anwender sowie gebremstem Marktwachstum durch Vertrauensverlust der Anwender führen.

Mobile Geräte im Sicherheitskonzept

Um derartigen Angriffen nicht wehrlos ausgeliefert zu sein, gilt es die klassischen Sicherheitsprämissen auch für Smartphones umzusetzen. Von Seiten der Smartphone-Hersteller werden Sicherheitsmaßnahmen wie die Freischaltung der Anwendungen durch die Benutzer, signierte Applikationen sowie Zugriffsbeschränkungen auf bestimmte Dienste für unsignierte Applikationen eingerichtet. Unternehmen können sich schützen, indem sie mobile Systeme in die Sicherheitspolitik des Unternehmens einbinden.