HTML-code wist Galaxy SII en SIII

Drie Samsung smartphones kunnen worden gewist door op een website met een speciaal stukje HTML-code te belanden. Ook NFC en QR-codes zijn een gevaar.

Het lijkt bijna te eenvoudig om waar te zijn. Wie de bewuste code in zijn pagina verwerkt hoeft alleen maar te wachten tot iemand met een Samsung Galaxy SII, SIII of een S Advance de site bezoekt.

De bewuste code start het belscherm van je smartphone en hier worden de zogenaamde supportcodes automatisch uitgevoerd. Dat zijn codes waarmee je een telefoon bepaalde commando’s laat uitvoeren, al zijn die vooral bedoeld voor herstellers, helpdesks en ontwikkelaars. Dus niet om ze automatisch vanaf een website te laten uitvoeren.

Drie seconden
De hack werd gedemondstreert door Ravi Borgaonkar op EkoParty, een Spaanse securityconferentie. De opvallendste was een code om een hard reset uit te voeren. Daarbij ben je als gebruiker alle instellingen en bestanden kwijt.

Ook je simkaart kan onklaar worden gemaakt met deze methode en het duurt niet langer dan drie seconden om deze beide acties uit te voeren.

Eens de geïnfecteerde webpagina wordt geladen is het te laat. Als gebruiker zie je wel dat er iets misloopt met je telefoon, maar nog zeer snel op de back- of home-knop drukken haalt niets uit.

QR-code of sms
Webpagina’s zijn overigens niet het enige gevaar. De code kan ook worden doorgegeven via een QR-code, NFC, sms of wap als deze je maar doorverwijzen naar een te laden pagina met de bewuste code op.

Volgens Borgaonkar is het wel mogelijk om jezelf te beschermen door de ‘service loading’ functie uit te schakelen. Maar ook alle QR-scanners (zoals QR Droid) kan je dan best verwijderen van je telefoon.

Maar waterdicht zijn die oplossingen niet. Daarom is het afachten tot Samsung met een beveiligingsupdate komt die het probleem oplost.