Una nuova vulnerabilità di Android ha preoccupato il mondo della sicurezza e lascia il tuo telefono Android estremamente vulnerabile. Il problema si presenta sotto forma di sei bug in un innocuo modulo Android chiamato StageFright, che viene utilizzato per la riproduzione multimediale.
Gli errori StageFright consentono a un MMS malintenzionato, inviato da un hacker, di eseguire codice dannoso all'interno del modulo StageFright. Da lì, il codice ha una serie di opzioni per ottenere il controllo del dispositivo. A partire da ora, qualcosa come 950 milioni di dispositivi sono vulnerabili a questo exploit.
È, semplicemente, la peggiore vulnerabilità di Android nella storia.
Takeover silenzioso
Gli utenti Android si stanno già arrabbiando per la violazione, e per una buona ragione. Una rapida scansione di Twitter mostra che molti utenti irati spuntano mentre le notizie permeano il web.
Da quanto ho sentito, anche i dispositivi Nexus non hanno ricevuto una patch per #Stagefright. Ha un telefono? http://t.co/bnNRW75TrD
- Thomas Fox-Brewster (@iblametom), 27 luglio 2015
Parte di ciò che rende questo attacco così spaventoso è che ci sono pochi utenti che possono fare per proteggersi da esso. Probabilmente, non saprebbero nemmeno che l'attacco è avvenuto.
Normalmente, per attaccare un dispositivo Android, è necessario chiedere all'utente di installare un'app dannosa. Questo attacco è diverso: l'utente malintenzionato dovrebbe semplicemente conoscere il proprio numero di telefono e inviare un messaggio multimediale dannoso .
A seconda della app di messaggistica che usi, potresti non sapere nemmeno che il messaggio è arrivato. Ad esempio: se i tuoi messaggi MMS passano attraverso Google Hangouts di Andoid Come utilizzare Google Hangouts sul tuo Android Come utilizzare Google Hangouts sui tuoi Hangout Android di Google+ è la risposta di Google alle chat room. Puoi uscire con un massimo di 12 persone utilizzando video, audio e chat di testo, oltre a diverse app opzionali. Hangout è disponibile su Android ... Per saperne di più, il messaggio dannoso sarebbe in grado di prendere il controllo e nascondersi prima che il sistema avvertisse l'utente che era arrivato. In altri casi, l'exploit potrebbe non iniziare fino a quando il messaggio non viene effettivamente visualizzato, ma la maggior parte degli utenti semplicemente lo cancellerà come testo di spam innocuo. Identifica numeri sconosciuti e Blocca messaggi di testo spam con Truemessenger per Android Identifica numeri sconosciuti e blocca messaggi di testo spam con Truemessenger per Android Truemessenger è una fantastica nuova app per inviare e ricevere messaggi di testo e può dirti chi è un numero sconosciuto e bloccare lo spam. Leggi di più o un numero sbagliato.
Una volta all'interno del sistema, il codice in esecuzione all'interno di StageFright ha automaticamente accesso alla telecamera e al microfono, nonché alle periferiche Bluetooth e a tutti i dati memorizzati sulla scheda SD. È già abbastanza brutto, ma (sfortunatamente) è solo l'inizio.
Mentre Android Lollipop implementa una serie di miglioramenti della sicurezza 8 modi di aggiornamento per Android Lollipop rende il telefono più sicuro 8 modi di aggiornamento per Android Lollipop rende il telefono più sicuro I nostri smartphone sono pieni di informazioni sensibili, quindi come possiamo mantenerci al sicuro? Con Android Lollipop, che offre un grande vantaggio nell'arena della sicurezza, introducendo funzionalità che migliorano la sicurezza su tutta la linea. Per saperne di più, la maggior parte dei dispositivi Android sono ancora in esecuzione versioni precedenti del sistema operativo Una guida rapida alle versioni e aggiornamenti di Android [Android] Una guida rapida alle versioni e aggiornamenti di Android [Android] Se qualcuno ti dice che sta eseguendo Android, non lo sono dicendo quanto penseresti. A differenza dei principali sistemi operativi per computer, Android è un sistema operativo ampio che copre numerose versioni e piattaforme. Se desideri ... Leggi altro, e sei vulnerabile a qualcosa chiamato "attacco di escalation di privilegi". Normalmente, le app Android sono "sandboxed Cos'è una sandbox, e perché dovresti giocare in una cosa è una sandbox, e perché dovrebbe Stai giocando in uno Un programma altamente connettivo può fare molto, ma è anche un invito aperto a colpire i cattivi hacker. Per evitare che gli scioperi abbiano successo, uno sviluppatore dovrebbe individuare e chiudere ogni singolo foro in ... Read More ", consentendo loro di accedere solo a quegli aspetti del sistema operativo a cui è stata concessa l'autorizzazione esplicita da utilizzare. Gli attacchi di escalation dei privilegi consentono al codice dannoso di "ingannare" il sistema operativo Android per fornire sempre più accesso al dispositivo.
Una volta che l'MMS malintenzionato ha preso il controllo di StageFright, potrebbe utilizzare questi attacchi per assumere il controllo totale su dispositivi Android meno recenti e insicuri. Questo è uno scenario da incubo per la sicurezza dei dispositivi. Gli unici dispositivi totalmente immuni a questo problema sono quelli che eseguono sistemi operativi precedenti a Android 2.2 (Froyo), che è la versione che ha introdotto StageFright in primo luogo.
Risposta lenta
La vulnerabilità di StageFright è stata originariamente scoperta ad aprile da Zimperium zLabs, un gruppo di ricercatori della sicurezza. I ricercatori hanno segnalato il problema a Google. Google ha rilasciato rapidamente una patch ai produttori, tuttavia, pochissimi produttori di dispositivi hanno effettivamente spinto la patch sui loro dispositivi. Il ricercatore che ha scoperto l'insetto, Joshua Drake, ritiene che circa 950 milioni del miliardo di dispositivi Android stimati in circolazione siano vulnerabili a qualche forma di attacco.
Sìì! @BlackHatEvents ha gentilmente accettato la mia richiesta di parlare della mia ricerca su StageFright di @ Android! https://t.co/9BW4z6Afmg
- Joshua J. Drake (@jduck), 20 maggio 2015
I dispositivi di Google come il Nexus 6 sono stati parzialmente riparati in base a Drake, anche se permangono alcune vulnerabilità. In una email a FORBES sull'argomento, Google ha rassicurato gli utenti che,
"La maggior parte dei dispositivi Android, compresi tutti i dispositivi più recenti, ha più tecnologie progettate per rendere più difficile lo sfruttamento. I dispositivi Android includono anche una sandbox per le applicazioni progettata per proteggere i dati dell'utente e altre applicazioni sul dispositivo "
Tuttavia, questo non è molto conforto. Fino a quando Android Jellybean Top 12 Suggerimenti di Jelly Bean per una nuova esperienza con Google Tablet I 12 suggerimenti di Jelly Bean per una nuova esperienza di Google Tablet Android Jelly Bean 4.2, inizialmente distribuito sul Nexus 7, offre una nuova eccezionale esperienza tablet che supera le versioni precedenti di Android. Ha persino impressionato il nostro fan di Apple. Se hai un Nexus 7, ... Leggi di più, il sandboxing in Android è stato relativamente debole, e ci sono diversi exploit noti che possono essere utilizzati per aggirarlo. È davvero cruciale che i produttori sviluppino una patch appropriata per questo problema.
Cosa sai fare?
Sfortunatamente, i produttori di hardware possono essere estremamente lenti a implementare questo tipo di patch di sicurezza critiche. Vale sicuramente la pena contattare il reparto di assistenza clienti del produttore del dispositivo e chiedere una stima su quando saranno disponibili i patch. La pressione pubblica probabilmente contribuirà a velocizzare le cose.
Per la parte di Drake, ha in programma di rivelare la piena estensione delle sue scoperte a DEFCON, una conferenza internazionale sulla sicurezza che si tiene all'inizio di agosto. Si spera che la pubblicità aggiunta spinga i produttori di dispositivi a rilasciare rapidamente gli aggiornamenti, ora che l'attacco è noto.
Su una nota più ampia, questo è un buon esempio del perché la frammentazione di Android è un incubo di sicurezza.
Ancora una volta è un disastro che gli aggiornamenti #Android siano nelle mani dei produttori di hardware. Deve danneggiare seriamente Android. #Panico da palcoscenico
- Mike (@mipesom), 27 luglio 2015
Su un ecosistema bloccato come iOS, una patch per questo potrebbe essere scaricata in poche ore. Su Android, potrebbero essere necessari mesi o anni per aggiornare tutti i dispositivi a causa dell'enorme livello di frammentazione. Sono interessato a vedere quali soluzioni Google affronterà nei prossimi anni per iniziare a portare questi aggiornamenti essenziali per la sicurezza dalle mani dei produttori di dispositivi.
Sei un utente Android interessato da questo problema? Preoccupato per la tua privacy? Fateci sapere che ne pensate nei commenti!
Credito immagine: tastiera retroilluminata di Wikimedia