Am Montag hat der Chiphersteller Qualcomm bestätigt dass Hacker eine Zero-Day-Sicherheitslücke – also eine Sicherheitslücke, die dem Hardwarehersteller zum Zeitpunkt des Missbrauchs unbekannt war – in Dutzenden seiner Chipsätze in beliebten Android-Geräten ausnutzten.
Die offiziell benannte Zero-Day-Schwachstelle CVE-2024-43047Laut Qualcomm „kann es zu einer begrenzten, gezielten Ausnutzung kommen“ und verweist auf nicht näher bezeichnete „Hinweise“ der Threat Analysis Group von Google, der Forschungseinheit des Unternehmens, die staatliche Hacking-Bedrohungen untersucht. Das Security Lab von Amnesty International, das sich für den Schutz der Zivilgesellschaft vor digitaler Überwachung und Spyware-Bedrohungen einsetzt, bestätigte die Einschätzung von Google, sagte Qualcomm.
Die US-Cybersicherheitsbehörde CISA hat den Qualcomm-Fehler aufgenommen in seiner Liste der Schwachstellen von denen bekannt ist, dass sie ausgenutzt werden oder wurden.
Zum jetzigen Zeitpunkt gibt es nicht viele Details darüber, wer diese Schwachstelle „in freier Wildbahn“ ausgenutzt hat – was bedeutet, dass derjenige, der den Zero-Day nutzte, Einzelpersonen in echten Hacking-Kampagnen ins Visier nahm. Es ist auch noch nicht bekannt, welche Personen ins Visier genommen wurden und warum.
Die Sprecherin von Qualcomm, Catherine Baker, sagte gegenüber Tech, dass das Unternehmen „die Forscher von Google Project Zero und Amnesty International Security Lab für die Anwendung koordinierter Offenlegungspraktiken“ lobt, was es dem Unternehmen ermöglicht, Korrekturen für die Schwachstelle einzuführen.
Für weitere Einzelheiten zu den Bedrohungsaktivitäten verwies der Chiphersteller auf Amnesty und Google.
Amnesty-Sprecher Hajira Maryam sagte gegenüber Tech, dass die gemeinnützige Organisation Untersuchungen zu dieser Sicherheitslücke durchführen werde, „die bald veröffentlicht werden sollen“.
Google-Sprecherin Kimberly Samra sagte, TAG habe im Moment nichts hinzuzufügen.
Der Sprecher von Qualcomm sagte, dass „unseren Kunden ab September 2024 Korrekturen zur Verfügung gestellt wurden“. Es liegt nun an den Kunden von Qualcomm – den Herstellern von Android-Geräten, die die anfälligen Chipsätze verwenden –, den Patch auf den Geräten ihrer Kunden zu veröffentlichen.
In seiner Empfehlung listete Qualcomm 64 verschiedene Chipsätze auf, die von dieser Sicherheitslücke betroffen sind, darunter die Flaggschiff-Mobilplattform des Unternehmens, Snapdragon 8 (Gen 1), die in verwendet wird Dutzende von Android-Handysdarunter einige von Motorola, Samsung, OnePlus, Oppo, Xiaomi und ZTE – was bedeutet, dass Millionen von Benutzern auf der ganzen Welt potenziell gefährdet sind.
Allerdings lässt die Tatsache, dass Google und Amnesty den Einsatz dieses Zero-Day-Angriffs unter „begrenzter, gezielter Ausnutzung“ untersuchen, darauf schließen, dass die Hacking-Kampagne wahrscheinlich gegen bestimmte Personen und nicht gegen eine große Anzahl von Zielen eingesetzt wurde.
Brian Heater hat zur Berichterstattung beigetragen.
UPDATE, 9. Oktober, 13:07 Uhr ET: Diese Geschichte wurde aktualisiert und enthält nun den Kommentar von Amnesty.