Bitdefender-Forscher haben mit GhostMap eine Schwachstelle entdeckt, durch die eine speziell präparierte Android-App einen dauerhaften Systemabsturz auslösen kann.
Factory Reset
Android-Schwachstelle GhostMap zwingt Smartphones in Absturzschleife
Bildquelle: Primakov / Shutterstock.com
Betroffene Geräte lassen sich unter Umständen nur noch durch ein Zurücksetzen auf Werkseinstellungen wiederherstellen, wodurch sämtliche gespeicherten Daten verloren gehen können. Ein entsprechender Fix steht derzeit nicht zur Verfügung.
Installation reicht für den Angriff aus
Für die Auslösung des Problems ist keine aktive Nutzung der App erforderlich. Nach der Installation kann der Absturzzyklus automatisch beginnen. Weder muss die Anwendung geöffnet noch müssen zusätzliche Berechtigungen erteilt werden.
Bitdefender bezeichnet die entdeckte Angriffsmethode als GhostMap. Das Unternehmen stieß im Rahmen seiner Analysen auf einen Dropper, der sich als Online-Banking-Anwendung ausgab. Bei der Untersuchung am 12. August löste das Sample in einer Analyseumgebung einen Systemabsturz aus. Die Installation selbst wurde dabei abgebrochen. Nach Angaben der Sicherheitsforscher handelt es sich bei GhostMap um einen Proof of Concept, der bislang nicht für reale Angriffe beobachtet wurde.
Die Auswirkungen beschränken sich auf die Verfügbarkeit des Geräts. GhostMap führt demnach keinen Schadcode aus und liest auch keine Nutzerdaten aus. Stattdessen verhindert die Absturzschleife, dass das Smartphone regulär verwendet werden kann.
Fehlerhafte APK-Verarbeitung bringt Android zum Absturz
Technisch entsteht das Problem durch einen Konflikt bei der Verarbeitung von APK-Dateien. Diese basieren auf dem ZIP-Format und können durch eine ungewöhnliche Dateikonfiguration eine falsche Größenangabe enthalten.
In einem Test untersuchten die Bitdefender-Forscher eine APK-Datei mit einer tatsächlichen Größe von acht Kilobyte. Aufgrund eines ungültigen ZIP-Eintrags wurde ein Bestandteil jedoch so behandelt, als hätte er eine Größe von 16 Megabyte. Versucht Android anschließend, auf nicht tatsächlich vorhandene Dateibereiche zuzugreifen, kann dies einen Absturz des Systemservers auslösen.
Der betroffene Systemprozess startet daraufhin immer wieder neu. In einem Versuch wiederholte sich dieser Vorgang 110-mal. Auf dem Display war währenddessen lediglich die Boot-Animation zu sehen. Auch ein gewöhnlicher Neustart beendet die Schleife nicht. Das Problem trat laut Bitdefender zudem im abgesicherten Modus auf.
Wiederherstellung kann Datenverlust bedeuten
Die Forscher reproduzierten das Verhalten auf einem Google Pixel mit Android 17 und dem Sicherheitspatch vom 5. August 2026. Nach ihrer Einschätzung könnten auch weitere Android-Versionen betroffen sein, möglicherweise von Android 10 bis 17.
Eine eingeschränkte Wiederherstellung über die Android Debug Bridge (ADB) ist demnach nur möglich, wenn USB-Debugging bereits vor dem Absturz aktiviert wurde. Andernfalls bleibt als Ausweg möglicherweise nur das Zurücksetzen auf den Werkszustand. Dabei gehen lokal gespeicherte Daten verloren.
Bitdefender nennt darüber hinaus weitere denkbare Folgen, die bislang nicht in realen Angriffen beobachtet wurden. So könnten auch Deinstallationsfunktionen oder Sicherheitstools zur Analyse von Apps abstürzen. Dadurch wäre es unter Umständen schwieriger, die schädliche Anwendung zu entfernen oder zu erkennen. Denkbar wäre außerdem, dass eine fehlerhaft formatierte Datei erst mit einem späteren App-Update verteilt wird und dadurch mehrere Geräte gleichzeitig betrifft.
Google sieht derzeit keinen unmittelbaren Handlungsbedarf
Bitdefender meldete die Schwachstelle am 20. und 25. August 2026 über Googles Android & Devices Vulnerability Reward Program. Google schloss die erste Meldung mit dem Status „Won’t Fix (Not Reproducible)“. Auch die zweite Meldung führte nach Angaben von Bitdefender nicht zu einer Aufnahme in ein Sicherheitsupdate. Google verwies stattdessen auf die Möglichkeit, das Problem in einer zukünftigen Android-Version zu berücksichtigen.
Damit ist zum Zeitpunkt der Veröffentlichung der Analyse noch keine Korrektur verfügbar.
GhostMap reiht sich in eine Reihe früherer Android-Probleme ein, die ebenfalls mit der Verarbeitung manipulierter APK- beziehungsweise ZIP-Dateien zusammenhingen. Zu den bekannten Vorgängern zählen Master Key aus dem Jahr 2013, Janus aus dem Jahr 2017 und BadPack aus dem Jahr 2024.
(red/Bitdefender)
