Vergangenen Freitag fand die DEF CON Hacking Konferenz in Las Vegas statt. Dort zeigen Sicherheitsforschende akute, aber auch potentielle Gefahren aus dem Bereich Hacking und Cyberkriminalität auf. Ein Team aus zwei Experten hat nun demonstriert, dass selbst Emojis zu diesem Zweck missbraucht werden können. Die Bedingungen dafür sind einzigartig, aber nicht unmöglich.
Hacking mit Emoji-Shellcode: Das steckt dahinter
Die Sicherheitsforscher Hadrien Barral und Georges-Axel Jaloyan haben sich mit theoretischen Hacking-Szenarien intensiv auseinandergesetzt. Dabei warnten sie ihr Publikum davor, dass schon eine simple Reihe harmloser Emojis zweckdienlich sein könnte. Aber dafür müssen einige Voraussetzungen erfüllt werden.
Zuallererst muss es eine kritische Schwachstelle auf deinem Gerät geben. Da sich neben der Sicherheit von Android, iOS und Co. auch die Hacking-Community stets weiterentwickelt, ist kein System ewig sicher. Es handelt sich also nur um eine Frage der Zeit.
Um diese Sicherheitslücke auszunutzen, braucht es einen sogenannten Exploit. Das kann schon ein kleiner, aber fieser Codeschnipsel sein, der das Hacking deines Geräts ermöglicht. So ein Codeschnipsel besteht in der Regel aus Zahlen und Buchstaben. Er könnte sich aber auch aus Emojis zusammensetzen. Das ist das, was Barral und Jaloyan als Emoji-Shellcoding beschrieben haben.
Shellcodes dienen dazu, eine neue Shell beziehungsweise Kommandozeile zu starten. Sie sind also erstmal harmlos, außer man nutzt sie als Hacking-Methode. Mit dieser Zeile können Kriminelle dann nämlich entsprechende Befehle für das kompromittierte System eingeben, wie ComputerWeekly erklärt. So ließe sich dein Smartphone ausspähen oder Schadsoftware installieren.
Wie realistisch ist diese Methode?
Doch wie realistisch ist es denn überhaupt, dass Cyberkriminelle Emojis zum Hacken deines Smartphones verwenden? „Das reale Szenario ist ein bisschen weit hergeholt.“, geben die Sicherheitsforscher gegenüber Vice zu.
Denn du kannst es dir nicht so vorstellen, dass eine Person mit Kapuze in einem abgedunkelten Raum einfach so witzige Emojis mit einem zwielichtigen Auftrag in seine Tastatur eingibt. Auch dein System müsste auf einer Emoji-Eingabe beim Exploit beruhen. Und so etwas gibt es nicht.
Dennoch sind die Ideen von Barral und Jaloyan nicht komplett an den Haaren herbeigezogen. Ihnen ist es beispielsweise gelungen, die erste Shell basierend auf Emojis zu programmieren. In dieser ließe sich also das Angriffsszenario durchspielen, was sie ihren Zuhörenden auch empfohlen haben.
Es ging den beiden Experten mit ihrem Vortrag nämlich viel eher darum, darauf aufmerksam zu machen, welche wahnwitzigen Ausmaße Hacking in Zukunft annehmen kann. Sie warnen etwa davor, dass viele Programme (und Apps) Emojis nicht verstehen. Damit ließe sich die Anwendung nicht infiltrieren, jedoch beweist es in ihren Augen, dass wir Hacking durch Emojis wegen dieser Wissenslücke „dem Stand der Technik [als] neue Methode“ hinzufügen müssen.
- Wusstest du schon: Google hat selbst ein Team aus Hackern – aber wieso?
Quellen: Vice, ComputerWeekly
Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.