Smartphones sind Geräte in Gefahr, daran besteht heute kaum ein Zweifel. Das Beste, was der durchschnittliche Benutzer tun kann, ist, vorsichtig zu sein, was er herunterlädt, und seine Aktivitäten auf offizielle Umgebungen zu beschränken, aber nun untersucht eine neue Studie der Universität Georgetown die Möglichkeit eines Remote-Angriffs über direkte Befehle für Assistenten wie Google Now, Siri und Cortana. Das Auffälligste ist, dass diese Befehle mit einer verzerrten, fast dämonischen Stimme übertragen werden, die theoretisch in einem YouTube-Video oder einer anderen Audioquelle versteckt werden könnte.
Die Fortschritte bei der Spracherkennung waren außergewöhnlich und haben die Art und Weise, wie wir heute unsere Mobilgeräte nutzen, völlig verändert, aber je weiter die Assistenten reichen und je mehr Befehle sie integrieren, desto größer ist auch die Wahrscheinlichkeit, eine Schwachstelle zu finden. Es sei denn, der Benutzer besitzt ein Gerät wie das Moto X, ist es sinnvoll, den Assistenten manuell zu aktivieren und dann zu sprechen, aber darin liegt der Schlüssel: Wenn der Assistent im Vordergrund und bereit ist, Befehle zu empfangen, könnte jeder zu ihm sprechen, sogar ein speziell vorbereitetes YouTube-Video, das Malware verbreiten soll.
Obwohl dies ein sehr spezieller Betriebszustand ist, hebt die Forschergruppe der Universität Georgetown und der University of California (Berkeley), die diese Studie erstellt hat, das Potenzial viraler Videos hervor. Wenn bei einer Million Aufrufen zehntausend Benutzer ihr Smartphone in der Nähe der Lautsprecher lassen und die Hälfte den Befehl, eine mit Malware beladene URL zu öffnen, korrekt interpretiert, könnte man von fünftausend infizierten Geräten sprechen. Diese versteckten Befehle werden mit einer stark verzerrten Stimme und einem gewissen dämonischen Profil übertragen, die ihr Ziel sogar in Umgebungen mit Hintergrundgeräuschen erreichen kann.
Die Studie hat eine offizielle Seite (unten verlinkt), auf der mehrere «White-Box»- und «Black-Box»-Demos veröffentlicht wurden, damit alle Interessierten es mit ihren Smartphones ausprobieren können. Ich bestehe darauf, dass es sich nicht um eine exakte Lösung handelt, und ich schätze, dass das Smartphone die Befehle in den meisten Fällen nicht erkennen wird, aber wir wissen sehr gut, dass Malware nur einmal Glück braucht.
