Android-Nutzer könnten eine böse Überraschung erleben, denn eine neu entdeckte Schwachstelle könnte ihre Smartphones in endlosen Neustartschleifen festsetzen.
Die auf den Namen GhostMap getaufte Schwachstelle ermöglicht es einer speziell entwickelten Android-App, ein Gerät in eine endlose Absturzschleife zu versetzen. Der Angriff erfordert keine besonderen Berechtigungen und nicht einmal das Öffnen der App, was ihn für arglose Nutzer besonders gefährlich macht, die darin geschult sind, dass eine App, die ungewöhnlich weitreichende Berechtigungen anfordert, ein deutliches Warnsignal ist.
Bitdefender-Forscher entdeckten die Schwachstelle und sagen, dass sie Android 10 und höher betrifft. Erfolgreiche Tests wurden auf einem Google Pixel 10 mit einem Sicherheitsupdate von August 2026 durchgeführt. Noch beunruhigender ist, dass Google sich nicht dazu verpflichtet hat, ein Sicherheitsupdate zur Behebung des Problems bereitzustellen, obwohl das Unternehmen Berichten zufolge einen funktionierenden Machbarkeitsnachweis erhalten hat.
GhostMap entschlüsselt
GhostMap hat es nicht auf Ihre Bankdaten abgesehen und versucht auch nicht, Ihr Geld zu stehlen. Zumindest hat Bitdefender kein solches Motiv festgestellt. Stattdessen nutzt die Schwachstelle eine Lücke in Android selbst aus, um Nutzern direkt zu schaden.
Die Untersuchung von Bitdefender begann am 12. August 2026, nachdem ein verdächtiger Banking-Dropper die Android-Analyse-Emulatoren wiederholt zum Absturz gebracht hatte.
Interessanterweise wurde die Anwendung nie tatsächlich ausgeführt. Weitere Untersuchungen ergaben, dass das eigentliche Problem darin lag, wie Android bestimmte Informationen in Anwendungsdateien verarbeitete.
Android-Anwendungen liegen normalerweise als Android Package Kits (APKs) vor – Archive, die Anwendungscode, Bilder und andere Ressourcen enthalten. Das Betriebssystem muss diese Inhalte während der Installation und beim Zugriff durch Systemkomponenten verarbeiten. GhostMap nutzt eine Schwachstelle in diesem Prozess aus.
Konkret interpretieren zwei Android-Komponenten, libziparchive und libandroidfw, bestimmte APK-Metadaten unterschiedlich. Ein Feld beschreibt, wie eine Datei komprimiert ist, während ein anderes ihre erwartete Größe nach der Dekomprimierung angibt. Ein Angreifer kann diese Informationen manipulieren und Android dadurch dazu bringen, eine Datei mit einer falschen Größe zu verarbeiten.
Wenn Android versucht, die fehlerhafte Datei in den Speicher abzubilden, kann es auf eine ungültige Speicheradresse zugreifen. Dadurch wird ein SIGBUS-Fehler ausgelöst, der den betroffenen Prozess zum Absturz bringt.
Das Problem besteht darin, dass Android den abgestürzten Prozess automatisch neu startet – eigentlich genau das Richtige –, er aber auf dieselbe fehlerhafte Ressource stößt und deshalb erneut und immer wieder abstürzt.
Die Forscher registrierten im normalen Modus 110 Absturzzyklen und im abgesicherten Modus 72. Keiner der beiden Modi bot eine zuverlässige Möglichkeit, dem Problem zu entkommen.
Google hat sich nicht zu einem Sicherheitsupdate verpflichtet
Bitdefender hat die Schwachstelle nicht einfach aufgedeckt und sich dann zurückgezogen. Da sie in Android selbst steckt, unternahmen die Forscher zwei Versuche, Google zur Behebung des Problems zu bewegen, bevor sie ihre Erkenntnisse veröffentlichten.
Der erste Bericht wurde am 20. August eingereicht, aber von Google als „Won't Fix (Not Reproducible)“ geschlossen.
Bitdefender legte weitere Beweise vor, darunter einen funktionierenden Machbarkeitsnachweis, der die möglichen Auswirkungen demonstrierte. Google stufte das Problem daraufhin als außerhalb des Umfangs eines Sicherheitsupdates liegend ein und verwies es zur möglichen späteren Prüfung an ein anderes Team.
Bitdefender veröffentlichte seine Erkenntnisse am 5. November, ohne dass ein Sicherheitsupdate zur Behebung der Schwachstelle zugesagt worden war. Obwohl die Forscher den ursprünglichen Banking-Dropper in freier Wildbahn gefunden hatten, beobachteten sie bislang nicht, dass Angreifer die Technik der dauerhaften Absturzschleife gegen tatsächliche Opfer einsetzen.
Die Gefahr besteht nun jedoch darin, dass die technischen Details öffentlich sind. Angreifer können die Schwachstelle untersuchen und darum wetteifern, eigene Exploits zu entwickeln bevor Google einen Fix bereitstellt.
So bleiben Sie geschützt
Da der Exploit nun öffentlich ist und kein Sicherheitsupdate zu seiner Behebung zugesagt wurde, sollte es Priorität haben, den Kontakt mit einer bösartigen APK zu verhindern.
Die üblichen Vorsichtsmaßnahmen bei der Installation von Apps gelten weiterhin:
- Halten Sie sich an vertrauenswürdige Quellen, vorzugsweise Google Play
- Laden Sie APKs nicht von unbekannten Websites herunter
- Seien Sie vorsichtig bei Anwendungen, die über unaufgeforderte Links geteilt werden oder Messaging-Plattformen
- Überprüfen Sie den Entwickler einer App vor der Installation auf mehreren unabhängigen Wegen. Das ist besonders wichtig, weil eine App, die einen solchen Absturz verursachen kann, nicht einmal ausgeführt werden muss.
Die erste Möglichkeit ist das Zurücksetzen auf die Werkseinstellungen. Bitdefender stellte in seinen Tests fest, dass dies die einzige zuverlässige Wiederherstellungsoption ist. Dadurch sollte das Gerät wieder in einen nutzbaren Zustand versetzt werden, allerdings werden dabei auch alle Ihre Daten gelöscht. Wenn Sie über ein aktuelles Backup verfügen, halten sich die Schäden möglicherweise in Grenzen. Wenn nicht, könnten Sie weit mehr verlieren als nur den Zugriff auf Ihr Smartphone.
Die Forscher identifizierten außerdem die Android Debug Bridge (ADB) als mögliche Möglichkeit, die schädliche Anwendung von einem verbundenen Computer zu entfernen. Dafür muss das USB-Debugging bereits zuvor aktiviert worden sein. Außerdem muss der Computer möglicherweise schon dazu berechtigt sein, mit dem Gerät zu kommunizieren.
Für die meisten Nutzer machen diese Voraussetzungen ADB zu einer unpraktischen Notfalllösung.
Bis ein Fix verfügbar ist, bleiben das Meiden nicht vertrauenswürdiger APKs und aktuelle Backups wichtige Vorsichtsmaßnahmen gegen eine Schwachstelle, die Nutzer vor die Wahl zwischen anhaltenden Geräteabstürzen und einem Zurücksetzen auf die Werkseinstellungen stellen könnte.
Weitere Meldungen: Forschungen von CrowdStrike haben ergeben, dass Angreifer bereits 35 Minuten nach der öffentlichen Veröffentlichung von Proof-of-Concept-Code mit der Ausnutzung einer Schwachstelle begannen. Das zeigt, wie schnell Cyberkriminelle neu offengelegte Lücken für Angriffe instrumentalisieren können und wie stark der Druck auf Sicherheitsteams wächst, anfällige Systeme zu patchen.