Automatische Ausführung eingeschleuster USSD-Steuercodes per Website

[he11fire 22]

Hallo Leute,

manche von euch haben bestimmt schon von der Nachricht gehört, das einige Smartphones automatisch in Webseiten eingeschleuste USSD-Steuercodes ausführen.

Es wurde aber bis jetzt nur über Samsung und HTC Smartphones mit dieser Problematik berichtet.

Auf

https://www.heise.de/newsticker/meldung/Android-Smartphones-Bei-USSD-Anruf-SIM-Tod-1718789.html

gibt es einen link zu einer Testseite die einen solchen versteckten ussd-code ausführt, und die IMEI sichtbar macht. Leider auch bei meinem P990.

Habe mir jetz NoTelUrl aus dem Playstore installiert, das sollte abhilfe schaffen und tut es auch, zumindest bei der heise-testseite...

Was meint ihr dazu?

grüße, He11Fire

[drikkup 6]

Hab es vorhin auch bei Heise gelesen, getestet und bin auf diesen Thread gestoßen. Bei mir wird unter CM 7.2 unter dem standart Browser auch die IMEI angezeigt unter Opera Mobile jedoch nicht!

Der link zur Seite ist übrigens https://heise.de/ussd

mfg

[MetaIIica 215]

Nun, da kann man ja fast froh sein, das ICS noch nicht draussen ist. So kann LG ggf. nachbessern. ABER: Kann man das auch bei den Custom-Roms abstellen?? Also den vorhandenen?

Ich frage mich echt was das bringen soll... die wo so ne manipulierte Website erstellen haben ja keine Vorteile davon wenn sie dafür sorgen die Handys zurückzusetzen.

Bei Gaunereien wo sie Geld via teure Sonderrufnummer oder ähnliches scheffeln könnten würde ja ne gewisse Motivation verständlich machen auch wenn ich sowas absolut nicht gut heisse, meine das rein logisch gesehen.

Fazit: Da lohnt es sich dringend, CWM-Backups und Speicherkartenbackups zu erstellen und die extern aufzubewahren.

[Gast]

Nun, da kann man ja fast froh sein, das ICS noch nicht draussen ist.

Also bei mir (LG P880) geht's nicht laut Check. Da hat LG bei ICS wohl schon aufgepasst

Gesendet von meinem LG-P880

[House.m.d 73]

Habs auch mal getestet, hmm...... zeigt sofort die IMEI an. Was kann man dagegen tun??

Ok, hab auch das NoTelUrl installiert, scheint zu funktionieren

[Old_Man 1]

CM7 scheint bereits gepatcht... bei xda gibt's für temaseks 135.1 u.ä. ein addon-pack. Hatte noch keine Zeit es zu testen, aber höchstwahrscheinlich funktioniert es;-)

[Thyrius 33]

Auch mein Gerät war davon betroffen. Dank dem Voss ist es nun sicherer geworden. Danke dafür!!!

[PapaNappa 8]

Ich denke ihr braucht euch keine Sorgen zu machen.

Die IMEI und andere geheime Informationen kann die Webseite nicht auslesen, es wird ja nur lokal auf dem Handy das "Programm" des Codes ausgeführt.

Und für das P990 sind bisher keine Wipe-Codes bekannt (afaik, habe noch nicht weiter bei xda gelesen), also kann auch keiner das Handy schrotten.

[SEKiller 278]

Ich denke ihr braucht euch keine Sorgen zu machen.

Die IMEI und andere geheime Informationen kann die Webseite nicht auslesen, es wird ja nur lokal auf dem Handy das "Programm" des Codes ausgeführt.

Und für das P990 sind bisher keine Wipe-Codes bekannt (afaik, habe noch nicht weiter bei xda gelesen), also kann auch keiner das Handy schrotten.

Es gibt Secret Codes zum resetten, diese sind Herstellerübergreifend.

Mag jemand testen? *2767*3855#

[he11fire 22]

Es gibt Secret Codes zum resetten, diese sind Herstellerübergreifend.

Mag jemand testen? *2767*3855#

Richtig, es geht hier um den komplettverlust aller daten durch ausführung dieser Steuercodes bzw. Reset des gerätes auf Werksherstellung. Wenn es nur meine IMEI auslesen würde wärs ja auch nicht weiter tragisch...

Also, NoTelUrl installieren und ausführen wenn gefragt wird. Scheint momentan die einzigste möglichkeit zu sein diesen fehler zu umgehen.

Samsung arbeitet mittlerweile schon an der behebung und wird updates veröffentlichen. Wie LG das Problem in Zukunft händeln wird ist mir leider noch nicht bekannt.

[SEKiller 278]

Richtig, es geht hier um den komplettverlust aller daten durch ausführung dieser Steuercodes bzw. Reset des gerätes auf Werksherstellung. Wenn es nur meine IMEI auslesen würde wärs ja auch nicht weiter tragisch...

Also, NoTelUrl installieren und ausführen wenn gefragt wird. Scheint momentan die einzigste möglichkeit zu sein diesen fehler zu umgehen.

Samsung arbeitet mittlerweile schon an der behebung und wird updates veröffentlichen. Wie LG das Problem in Zukunft händeln wird ist mir leider noch nicht bekannt.

Na ganz einfach mit einem "Update" für jedes Gerät ausser dem P990 xD

[Thyrius 33]

Wollen wir es hoffen. Vielleicht bauen sie es ja gleich ins Neue OS ein. hehe

[UndSonstSo... 186]

Es gibt ein weiteres Tool das vor einer Manipulation über die USSD-Lücke schützt,

inklusive einer Testroutine, bereits im PlayStore erhältlich.

Auszug aus Artikel (mobiFlip):

…aber auch Bitdefender hat mit dem USSD Wipe Stopper ein Tool veröffentlicht, welches anzeigen soll, ob euer Smartphone betroffen ist und auch vor einem eventuellen Angriff schützen soll. Technisch unterscheiden sich die Apps kaum, der USSD Wipe Stopper bietet allerdings bereits vor dem Angriff eine Information, ob euer Gerät betroffen ist und hat auch direkt einen Test integriert, mit dem ihr die Funktionsweise überprüfen könnt.

Zum PlayStore geht's hier lang...

[-droog- 34]

CM7 scheint bereits gepatcht... bei xda gibt's für temaseks 135.1 u.ä. ein addon-pack. Hatte noch keine Zeit es zu testen, aber höchstwahrscheinlich funktioniert es;-)

Funktioniert, der Code wird angezeigt, aber nicht ausgeführt.

[PapaNappa 8]

Es gibt Secret Codes zum resetten, diese sind Herstellerübergreifend.

Quelle?

Wenn ich nach deinem USSD-Code suche finde ich den fast immer im Kontext von Samsung-Telefonen.

Ich bitte dabei zwischen der Allgemeinen Lücke zu unterscheiden, dass USSD-Codes ausgeführt werden können, und dass es solch einen Code gibt, der ein Werksreset durchführt.

Nur letzteres würde mir zu bedenken geben (oder wenn es andere, ähnlich gefährliche Codes gibt - *#06# zählt nicht dazu ).

Mag jemand testen? *2767*3855#

Mit CM10 ausprobiert und nichts ist passiert.

[SEKiller 278]

Quelle?

Wenn ich nach deinem USSD-Code suche finde ich den fast immer im Kontext von Samsung-Telefonen.

Ich bitte dabei zwischen der Allgemeinen Lücke zu unterscheiden, dass USSD-Codes ausgeführt werden können, und dass es solch einen Code gibt, der ein Werksreset durchführt.

Nur letzteres würde mir zu bedenken geben (oder wenn es andere, ähnlich gefährliche Codes gibt - *#06# zählt nicht dazu ).

Mit CM10 ausprobiert und nichts ist passiert.

Also das müsste ein Hersteller übergreifender Code sein, mal reboot gemacht?

[PapaNappa 8]

Jap, alles noch heile hier.

Aber erstens wird sich das CyanogenMod Team nicht unbedingt an absprachen anderer Hersteller halten, vielleicht ist es bei der Stock ROM so, aber bei CM passiert nichts.

Und zweitens wäre das ziemlich unsicher, wenn man ein unbeaufsichtigtes Handy mal eben so durch Eingabe einer Nummer resetten könnte. Kann mir kaum vorstellen, dass Firmen die noch bei Verstand sich auf sowas einigen.

Warum sich Samsung überhaupt sowas hat einfallen lassen wissen sie wohl nur selber ...

[PC23 72]

Jap, alles noch heile hier.

...

Und zweitens wäre das ziemlich unsicher, wenn man ein unbeaufsichtigtes Handy mal eben so durch Eingabe einer Nummer resetten könnte. Kann mir kaum vorstellen, dass Firmen die noch bei Verstand sich auf sowas einigen.

Warum sich Samsung überhaupt sowas hat einfallen lassen wissen sie wohl nur selber ...

Najein, also soweit ich mich erinnere, gab es das auch zu Nokia-Zeiten schon. Man hat diese Codes erfunden, um Geräte, die sich nicht mehr richtig bedienen lassen, über alternative Kanäle bedienbar zu machen.

Z.B.: das Gerät reagiert nicht mehr auf Menü-Einträge des "Desktops", einzelne Hardwaretasten sind defekt o.ä., Gerät soll aber in den Werkszustand vor dem Einschicken, damit die privaten Daten weg sind, also gibt es Steuercodes, die sich über Tastatur oder Modemanschluß etc. eingeben lassen und schon kann man es wenigstens löschen.

Oder ein nicht bedienbares Gerät ist in der Werkstatt und die wollen was gucken, also senden sie die Codes über eine externe Schnittstelle (früher proprietätrer Anschluß, heute Mikro-USB) rein, um HW-Info zu bekommen etc.

Somit ist es nicht unsinnvoll, derartige Codes zu haben, auch der Resetcode macht schon Sinn, einige von uns haben das Hiddenmenü mehr als ein Mal über die Telefon-Tastatur freigeschaltet etc.pp.

Dumm nur, wenn sowas heute mit "instant-online"-Geräten auch über Websites klappt. Da würde man sich eine Sicherheitsabfrage wünschen, doch da kommt wieder das Problem: wenn das Gerät selbst nicht mehr reagiert, und man es wenigstens über das Web löschen kann, dann würde eine Bestätigung über das Gerät wieder nichts bringen. Teufelskreis.

Ist ein Bißchen doof, was soll man da als Hersteller machen?! Außerdem funktionieren so ja auch die Mehrwerte, also z.B. wenn dein Handy gestohlen ist, kannst du es aus der Ferne löschen, damit die Diebe nur das Gerät, nicht aber deine Daten haben ...

Kurzum: die Funktion an und für sich macht schon Sinn, nur ist es eben ein Vorteil, der auch einen Nachteil hat. Abschalten sollte man es aber können (auf die Gefahr hin, daß man es selbst bei Diebstahl dann aber auch nicht mehr löschen kann).

PS - Nachtrag: ein Handy sollte man eh nicht unbeaufsichtigt lassen, da es ja auch gestohlen werden könnte, von daher ist es an sich eh leichtsinnig, denn ebenso könnte jemand mit dem Gerät unflätige SMS an sonstwen schicken aus Spaß den Notruf anrufen etc.

bearbeitet September 29, 2012 von PC23
Nachtrag zugefügt