Fortnite-Installer erlaubt Hackern jede erdenkliche App zu installieren

Fortnite ist momentan das Game schlechthin. Jeder Gamer, der etwas auf sich hält, hat schon mal von dem Spiel gehört und auch auf Twitch.tv befindet es sich normalerweise unter den Top 3. Es macht Spaß, es ist bunt und es ist für PC sowie Konsole erhältlich – und seit kurzem auch für Android.

Leider gibt es ein kleines Problem, man kann das Spiel nämlich nicht direkt über Google Play installieren. Während das der logische und einfache Weg wäre, hat Epic Games sich dazu entschieden nur einen Installer zur Verfügung zu stellen. Über diesen wird dann das Game samt Updates heruntergeladen. Das eigentliche Problem ist aber ein ganz anderes: Im Installer ist ein Exploit versteckt.

„Man-in-the-disk“-Angriff

Google-Sicherheitsforscher haben festgestellt, dass der Fortnite-Installer nur über rudimentäre Sicherheitsvorkehrungen verfügt wenn es darum geht zu kontrollieren, was auf dem Phone der Nutzer landet. Alles was er tut, ist über die Checksumme sicherzustellen, dass der Download der richtigen Datei gestartet wird. Ob dann auch die richtige Datei auf dem Smartphone landet und installiert wird, wird hingegen nicht verifiziert.

Diese laxen Sicherheitsvorkehrungen machen den Installer für sogenannte „Man-in-the-disk“-Attacken angreifbar: Ein Download wird über die App initialisiert, die Anfrage aber von Cyberkriminellen abgefangen. Anstatt nun die echte Datei herunterzuladen, wird eine bösartige eingespielt und auf das Phone geladen. Sobald sie dann im Speicher ist wird sie wahrscheinlich auch noch installiert und ausgeführt; erst zu spät wird gemerkt, dass etwas nicht stimmt. Klar – man vertraut dem Fortnite-Installer schließlich.

Nur bei vorhergehender Infektion gefährlich

Es gibt aber auch gute Nachrichten. Ein derartiger Angriff kann nicht einfach so ausgeführt werden. Damit die Cyberkriminellen überhaupt wissen, dass es einen Angriffspunkt gibt und ihn ausnutzen können, muss bereits eine bösartige App auf dem Phone präsent sein. Diese hält dann auch nach Sicherheitslücken wie der im Installer Ausschau. Dass dies generell der Fall ist, dürfte eher unwahrscheinlich – wenn auch nicht unmöglich – sein.

Google vs. Epic Games

Epic Games hat das Problem im Prinzip sofort behoben. Jeder, der den Installer erst jetzt herunterlädt, muss sich wegen der Lücke keinen Kopf mehr machen. Sollten Sie eine alte Version auf dem Phone haben, aktualisieren Sie sie am besten sofort: Wer den Installer ab Version 2.1.0 auf seinem Gerät hat, ist sicher.

Das sollte jetzt eigentlich das Ende der Geschichte sein (und wenn es Ihnen wirklich nur darum geht, den richtigen Installer installiert zu haben, ist es das auch). Die Story geht aber noch ein klein wenig weiter. Google informierte Epic Games Mitte August von dem Problem. Der Patch wurde in weniger als einem Tag zur Verfügung gestellt. Tim Sweeney, der CEO der Firma, erzählte Android Central, dass „ein Epic-Sicherheitsingenieur auf sein Bitten hin Google kontaktiert habe. Er sollte anfordern, die Veröffentlichung [der Sicherheitslücke] um die üblichen 90 Tage zu verzögern, damit genügend Zeit für die Verbreitung des Sicherheitsupdates zur Verfügung steht. Google hat das abgelehnt.“ Die Lücke wurde nur sieben Tage später veröffentlicht.

Wieso? So genau weiß es keiner. Böse Zungen munkeln aber es habe etwas damit zu tun, dass Epic Games Fortnite nicht direkt über den Google Play Store vertreibt. Auf diese Art und Weise muss die Spielefirma dem Suchmaschinengiganten keinen Anteil am Verkauf von Ingame-Gegenständen abgeben – und bei einem Spiel wie Fortnite ist das ein riesiger Batzen Geld.