Wie aus einer hochbezahlten Sicherheitsdemonstration eine reale Gefahr für Nutzer werden kann, zeigten zwei Forscher auf der Black Hat: Eine 50.000-Dollar-Exploitkette nutzte mehrere Schwachstellen in Samsung-Software, um am Ende die Sprachassistenz Bixby für einen weitreichenden Angriff einzuspannen. Dabei ging es nicht nur um das Ausnutzen einzelner Bugs, sondern um das clever ineinander verzahnte „Ketten“-Prinzip.
Die Präsentation basiert auf Ergebnissen, die die Forscher bereits im Rahmen von Pwn2Own Ireland im Oktober 2025 demonstrierten. Dort konnten sie einen Samsung Galaxy S25 kompromittieren und erhielten dafür Preisgeld in Höhe von 50.000 US-Dollar. In der Folge beschrieben sie in einem Vortrag, wie sich die einzelnen Schritte zu einem Angriff mit Systemrechten zusammenfügen lassen.
Vom Klick zum Fernangriff: So beginnt die Kette
Der Startpunkt ist denkbar simpel: Ein Angreifer bringt das Ziel dazu, auf einen Link zu klicken. Laut den Forschern erfolgt die Zustellung über maliziöse Werbung oder über eine Messaging-Anwendung. Sobald der Nutzer klickt, wird die eigentliche Schwachstellenkette ausgelöst.
Im nächsten Schritt wird eine Schwachstelle mit der Kennung CVE-2025-21079 ausgenutzt. Ziel ist dabei die App Samsung Members, eine offizielle Nutzer-Community für Diagnose und Support, die auf vielen Galaxy-Geräten vorinstalliert ist.
Durch die Ausnutzung wird Samsung Members dazu gezwungen, eine Verbindung zu einer vom Angreifer kontrollierten Website aufzubauen. Damit ist der Grundstein gelegt, um weitere Komponenten im Samsung-Ökosystem zur Mitwirkung zu bewegen.
Samsung Members wird zur Tür: Wechsel zu Samsung Account
Nachdem der Angreifer die Verbindung zu der bösartigen Seite hergestellt hat, folgt die nächste Station. Die Angreifer-Website bringt Samsung Members dazu, die Samsung Account-App zu öffnen. Diese App ist dafür vorgesehen, Nutzer mit Samsung-Diensten zu verbinden.
In dieser Phase wird aus einem anfänglichen Browser- oder Messaging-Schritt ein gezielter App-Ablauf. Dadurch entsteht eine Art „Weitergabe“ von Kontrolle innerhalb des Geräts.
Schwachstellen in Samsung Account öffnen den Weg zu Bixby
Als nächstes kommt eine zweite Schwachstelle ins Spiel: CVE-2025-58486. Damit lässt sich erreichen, dass Samsung Account eine Verbindung zu einer erneut vom Angreifer kontrollierten Seite aufbaut.
Auf der Angreifer-Seite wird anschließend eine weitere Schwachstelle genutzt: CVE-2025-58487. Dabei handelt es sich um eine XSS-Schwachstelle (Cross-Site Scripting). Laut den Forschern dient sie dazu, Samsung Account zu veranlassen, Bixby zu öffnen.
Bixby ist als virtueller Assistent bekannt und kann unter anderem auf Sprachbefehle reagieren, visuelle Suchanfragen verarbeiten und Automationsroutinen am Gerät ausführen. Für den Angriff ist dabei entscheidend, dass Bixby nicht isoliert agiert, sondern mit internen Mechanismen und Berechtigungen arbeitet.
Warum die „Schlüsselrolle“ von Samsung Account so wichtig ist
Ein zentrales Element der Darstellung betrifft die Frage, warum die Kette ausgerechnet bei Bixby landen kann. Die Forscher begründen dies mit einer besonderen Berechtigung in der Samsung Account-App. Diese Berechtigung wird benötigt, um mit einem spezifischen „Entry Point“ in Bixby zu interagieren.
In der Beschreibung der Forscher wird das Bild einer Seiteneingangssituation verwendet: Samsung Account fungiere dabei als „Schlüsselhalter“ für einen Neben-Zugang zu Bixby. Wird dieser Zugang über die Exploitkette ermöglicht, kann Bixby in den Angriffsschritten kontrolliert oder missbraucht werden.
Capsules: Der versteckte Hintergrunddienst hinter der Kontrolle
Der entscheidende technische Hebel folgt danach. Laut Vortrag existiert in den Samsung-Mechanismen die sogenannte Capsule—eine versteckte Hintergrunddienst-Komponente innerhalb einer App. Diese Komponente fungiert dabei wie ein Mini-Server im Hintergrund.
Wenn Nutzer einen Sprachbefehl geben, übersetzt Bixby die Anfrage und übermittelt die Anforderung an die Capsule, damit die eigentliche Aktion ausgeführt werden kann. Da Capsules direkt App-Funktionen steuern können, beschränkt Samsung normalerweise den Zugriff so, dass im Regelfall nur Bixby mit ihnen kommunizieren darf.
Die Forscher haben jedoch die Capsule-Infrastruktur auf Samsung-Geräten rückentwickelt und beschrieben, wie sich Bixby so beeinflussen lässt, dass es die Capsules in unerwünschter Weise nutzt. Damit verschiebt sich der Angriff von „App öffnen“ hin zu „App-Fähigkeiten missbrauchen“.
Von Datenabfluss zu Systemrechten
Durch diese Kontrolle konnten die Forscher laut eigener Darstellung sensible Daten exfiltrieren und anschließend Systemberechtigungen erlangen. Auf einem typischen, ausgelieferten Verbrauchergerät entspricht dies dem höchsten Privileg-Level, das ohne tieferes Gerätelabeling erreichbar ist.
Sobald ein Angreifer diese Systemebene erreicht, heißt es in der Demonstration, dass sich daraus Remote Code Execution ableiten und das Gerät aus der Ferne übernehmen lässt. Entscheidend ist hier die Kombination aus vorherigen Stufen, die den Weg zu Bixby und damit zu den Capsules bereiten.
Die Forscher gaben außerdem an, dass sie den Ablauf erfolgreich nachstellen konnten—unter anderem auf Samsung Galaxy S25, Galaxy S24 und Flip 7.
Patches: Wann Samsung reagiert hat
Ein wichtiger Teil des Vortrags betrifft die Frage, ob und wie schnell Schutzmaßnahmen kamen. Laut den Angaben begann Samsung einige Wochen nach Pwn2Own mit der Veröffentlichung von Fixes.
Für Samsung Members wurden bereits im November 2025 Patches ausgerollt. Diese sollten verhindern, dass die Kette über einen Webbrowser oder über Messaging-Apps ausgelöst werden kann.
Später, im Dezember, folgten weitere Updates, die Schwachstellen in Samsung Account beheben sollten. Dadurch wurde die zweite Hälfte der Exploitkette gezielt geschlossen.
Die Forscher weisen zugleich darauf hin, dass der Angriff auch bei älteren Geräten funktionieren kann, sofern diese Updates nicht erhalten haben. Zusätzlich gilt: Der Ablauf setzt voraus, dass die betroffenen Apps auf dem Gerät installiert sind. Bei Flaggschiffmodellen sind diese meist vorinstalliert—bei günstigeren Varianten sei unklar, ob dies in allen Fällen ebenfalls zutrifft.
Samsung selbst habe auf eine Anfrage für einen Kommentar nicht reagiert.
Was Nutzer und Sicherheitsverantwortliche daraus ableiten können
Auch wenn der Vortrag technische Tiefe liefert, lässt sich die Kernaussage relativ klar formulieren: Ein einzelner Bug genügt selten. Erst das Zusammenspiel mehrerer Schwachstellen über mehrere Apps hinweg macht die Angriffskette so wirkungsvoll.
Für Nutzer bedeutet das vor allem: Updates konsequent installieren, besonders wenn sie Komponenten betreffen, die mit Konto- oder Assistentenfunktionen zusammenhängen. Für Organisationen und Sicherheitsteams heißt es zudem, mobile Bedrohungen nicht nur als „Einbruch über eine App“ zu betrachten, sondern als potenziell mehrstufige Prozessketten.
Da viele der beschriebenen Schritte mit vorinstallierten oder üblichen System-/Support-Apps zusammenhängen, kann ein Update-Management auf mobilen Geräten einen großen Unterschied machen.
Fazit
Die Präsentation der 50.000-Dollar-Exploitkette zeigt, wie aus einem vermeintlich simplen Klick ein durchdachter Angriff werden kann. Über Schwachstellen in Samsung Members und Samsung Account sowie über XSS und Berechtigungslogik gelangten die Forscher schließlich zu Bixby und den dahinterliegenden Capsules. Das Ergebnis war ein Zugriff auf höchstmögliche Berechtigungsstufen und die Grundlage für Fernübernahme.
Gleichzeitig macht der Verlauf auch Hoffnung: Samsung startete relativ zeitnah mit Patches für zentrale Komponenten. Wer sein Gerät aktuell hält, reduziert das Risiko deutlich—während ungepatchte oder ältere Systeme eine Angriffsfläche bieten können.
Quelle: https://www.securityweek.com/how-a-50000-exploit-chain-turned-bixby-against-samsung-phones/
