Xiaomi-Handys mit MediaTek-Chips anfällig für Zahlungsbetrug

Zu dieser Erkenntnis kommen die Sicherheitsforscher von Check Point Security. Die Forscher hatten die Schwachstelle aufgedeckt und erläutert, dass Cyberkriminelle den Fehler für sich ausnutzen könnten. Schon im Juni 2022 reagierte Xiaomi mit einem Sicherheits-Update. Jedoch gibt es ein Problem: Die Tencent Soter-Plattform selbst ist noch nicht vor Angriffen geschützt, denn es besteht immer noch die Möglichkeit eines Downgrades auf eine der ungeschützten Versionen. Damit bleiben Geräte weiterhin angreifbar. Laut Xiaomi wird dieses Problem derzeit von einem Drittanbieter behoben. Wann Entwarnung gegeben werden kann, ist allerdings noch unklar.


Infografik Smartphone-Zahlungen: Europa beim Mobile Payment abgehängt

Umgehung der sicheren Enklave

Die Schwachstelle selbst sitzt in Xiaomi-Geräten mit MediaTek-Chipsätzen. Entdeckt wurde das Problem bei der Sicherheitsanalyse des "Kinibi" Trusted Execution Environments (TEE) des chinesischen Handyherstellers. TEE ist eine sichere Enklave innerhalb des Hauptprozessors, die zur Verarbeitung und Speicherung sensibler Informationen wie kryptografischer Schlüssel verwendet wird, um Vertraulichkeit und Integrität zu gewährleisten. Auch für Mobile-Payments wird darauf zurückgegriffen.

Die Sicherheitslücke erlaubt es einem Angreifer, den mobilen Zahlungsmechanismus zu deaktivieren oder für eigene Zwecke zu nutzen und Transaktionen zum Beispiel über eine manipulierte Android-App freizugeben.

Sicherheitsmaßnahmen greifen nicht

Check Point hat dabei entdeckt, dass eine vertrauenswürdige App auf einem Xiaomi-Gerät aufgrund fehlender Versionskontrolle herabgestuft werden kann, sodass ein Angreifer eine neuere, sichere Version einer App durch eine ältere, anfällige Variante ersetzen kann. "Daher kann ein Angreifer die von Xiaomi oder MediaTek vorgenommenen Sicherheitsmaßnahmen in vertrauenswürdigen Apps umgehen, indem er sie auf ältere, angreifbare Versionen herunterstuft", erläutert Check Point-Forscher Slava Makkaveev in einem Bericht von The Hacker News.

Die Schwachstellen bestehen im Kontext des Dienstes Tencent Soter, der dafür genutzt wird, um Transaktionen in Apps von Drittanbietern über WeChat und Alipay zu autorisieren. Diese Bezahlsysteme sind die meistgenutzten in China. Die Sicherheitslücke in Zusammenhang mit Tencent Soter könnte aber auch in Deutschland zum Problem werden, da der Dienst auf vielen Xiaomi-Geräten als Bloatware mitinstalliert wird. Cyberkriminelle könnten weitere Wege finden, die Sicherheitslücke für sich zu nutzen.

"Die Schwachstelle [...] kompromittiert die Tencent Soter-Plattform vollständig und ermöglicht es einem nicht autorisierten Benutzer, gefälschte Zahlungspakete zu signieren", erklärte Xiaomi. Der Konzern wartet laut eigenen Angaben derzeit auf die Behebung.