Как 95% телефонов Android можно взломать одним текстом

Рекламное объявление

Новая уязвимость Android беспокоит мир безопасности и делает ваш телефон Android чрезвычайно уязвимым. Проблема возникает в виде шести ошибок в безобидном модуле Android под названием Боязнь сцены, который используется для воспроизведения мультимедиа.

Ошибки StageFright позволяют вредоносным MMS, отправленным хакером, выполнять вредоносный код внутри модуля StageFright. Оттуда код имеет ряд опций для получения контроля над устройством. На данный момент около 950 миллионов устройств подвержены этой уязвимости.

Проще говоря, это худшая уязвимость Android в истории.

Бесшумное поглощение

Пользователи Android уже расстраиваются из-за нарушения, и на то есть веская причина. Быстрый просмотр Твиттера показывает, что многие разгневанные пользователи появляются, когда новости проникают в сеть.

Из того, что я слышал, даже устройства Nexus не получили патч для #Боязнь сцены. Есть какой-нибудь телефон? http://t.co/bnNRW75TrD

- Томас Брюстер (@iblametom) 27 июля 2015 г.

Часть того, что делает эту атаку настолько страшной, - то, что мало кто может сделать, чтобы защитить себя от нее. Вероятно, они даже не знали бы, что атака произошла.

Обычно для атаки на устройство Android необходимо, чтобы пользователь установил вредоносное приложение. Эта атака отличается: злоумышленнику просто нужно знать номер вашего телефона и отправить вредоносное мультимедийное сообщение.

В зависимости от того, какое приложение обмена сообщениями вы используете, вы можете даже не знать, что сообщение пришло. Например: если ваши MMS-сообщения проходят Android Hangouts Как использовать Google Hangouts на вашем AndroidGoogle+ Hangouts - это ответ Google на чаты. Вы можете общаться с 12 людьми, используя видео, аудио и текстовый чат, а также несколько дополнительных приложений. Видеовстреча доступна на вашем Android ... Подробнее злонамеренное сообщение сможет взять под свой контроль и спрятаться, прежде чем система даже предупредит пользователя, что оно пришло. В других случаях эксплойт может не срабатывать, пока сообщение не будет просмотрено на самом деле, но большинство пользователей просто списывают его как безвредное. текст спама Идентифицируйте неизвестные номера и блокируйте спам-сообщения с Truemessenger для AndroidTruemessenger - это фантастическое новое приложение для отправки и получения текстовых сообщений, которое может сказать вам, кто такой неизвестный номер, и заблокировать спам. Подробнее или неправильный номер.

Оказавшись внутри системы, код, запущенный в StageFright, автоматически получает доступ к камере и микрофону, а также к периферийным устройствам Bluetooth и любым данным, хранящимся на SD-карте. Это достаточно плохо, но (к сожалению) это только начало.

В то время как Android Lollipop реализует ряд улучшений безопасности 8 способов обновления до Android Lollipop делает ваш телефон более безопаснымНаши смартфоны полны конфиденциальной информации, так как же мы можем быть в безопасности? С Android Lollipop, который имеет большой успех на арене безопасности, предоставляя функции, которые улучшают безопасность по всем направлениям. Подробнее большинство устройств Android все еще работает старые версии ОС Краткое руководство по версиям и обновлениям для Android [Android]Если кто-то говорит вам, что у него работает Android, он говорит не так много, как вы думаете. В отличие от основных компьютерных операционных систем, Android - это широкая ОС, охватывающая множество версий и платформ. Если вы хотите ... Подробнее и уязвимы к так называемой «атаке повышения привилегий». Как правило, приложения для Android «песочнице Что такое песочница и зачем играть в нее?Программы с широкими связями могут многое сделать, но они также открыты для бастующих злоумышленников. Чтобы удары не увенчались успехом, разработчик должен определить и закрыть каждую дыру в ... Подробнее «Предоставляя им доступ только к тем аспектам ОС, которым они дали явное разрешение на использование. Атаки повышения привилегий позволяют злонамеренному коду «обмануть» операционную систему Android, чтобы предоставить ей все больший доступ к устройству.

После того, как вредоносное MMS-сообщение получило контроль над StageFright, оно могло использовать эти атаки, чтобы получить полный контроль над старыми, небезопасными устройствами Android. Это кошмарный сценарий безопасности устройства. Единственными устройствами, которые полностью защищены от этой проблемы, являются те, на которых установлены операционные системы старше Android 2.2 (Froyo), которая является версией, которая впервые представила StageFright.

Медленный ответ

Уязвимость StageFright была впервые обнаружена в апреле Zimperium zLabsгруппа исследователей безопасности. Исследователи сообщили об этой проблеме в Google. Google быстро выпустил патч для производителей - однако, очень немногие производители устройств фактически установили патч на свои устройства. Исследователь, который обнаружил ошибку, Джошуа Дрейк, считает, что около 950 миллионов из приблизительно миллиарда устройств Android, находящихся в обращении, уязвимы для той или иной формы атаки.

Ура! @BlackHatEvents милостиво принял мое представление, чтобы рассказать о моих исследованиях @AndroidStageFright! https://t.co/9BW4z6Afmg

- Джошуа Дж. Дрейк (@jduck) 20 мая 2015 г.

По словам Дрейка, собственные устройства Google, такие как Nexus 6, были частично исправлены, хотя некоторые уязвимости остаются. В электронном письме FORBES на эту тему Google заверил пользователей, что

«Большинство устройств Android, включая все новые устройства, имеют несколько технологий, разработанных для усложнения эксплуатации. Устройства Android также включают в себя изолированную программную среду для приложений, предназначенную для защиты пользовательских данных и других приложений на устройстве ».

Тем не менее, это не очень удобно. До тех пор Android Jellybean Лучшие 12 советов по желеAndroid Jelly Bean 4.2, изначально поставляемый на Nexus 7, предоставляет новый отличный планшет, который превосходит предыдущие версии Android. Это даже впечатлило нашего постоянного поклонника Apple. Если у вас есть Nexus 7, ... Подробнее песочница в Android была относительно слабой, и есть несколько известных эксплойтов, которые можно использовать, чтобы обойти ее. Крайне важно, чтобы производители выпустили подходящий патч для этой проблемы.

Что ты можешь сделать?

К сожалению, производители оборудования могут очень медленно внедрять такие критические исправления безопасности. Конечно, стоит обратиться в отдел поддержки клиентов производителя вашего устройства и попросить оценить, когда будут доступны исправления. Общественное давление, вероятно, поможет ускорить процесс.

Со стороны Дрейка, он планирует в полной мере раскрыть свои выводы на DEFCON, международной конференции по безопасности, которая состоится в начале августа. Надеемся, что дополнительная реклама побудит производителей устройств быстро выпускать обновления, теперь, когда атака общеизвестна.

В более широком смысле, это хороший пример того, почему фрагментация Android является таким кошмаром безопасности.

Опять это катастрофа #Android обновления находятся в руках производителей оборудования. Должен серьезно навредить Android. #Боязнь сцены

Майк? (@Mipesom) 27 июля 2015 г.

В закрытой экосистеме, такой как iOS, патч для этого может быть выпущен за несколько часов. На Android могут потребоваться месяцы или годы, чтобы ускорить работу каждого устройства из-за огромного уровня фрагментации. Мне интересно посмотреть, какие решения Google примет в ближайшие годы, чтобы начать выпускать эти важные для безопасности обновления из рук производителей устройств.

Являетесь ли вы пользователем Android, затронутым этой проблемой? Забота о вашей конфиденциальности? Дайте нам знать ваши мысли в комментариях!

Кредит изображения: Клавиатура с подсветкой Викимедиа