Android има огромна грешка в сигурността в компонент, известен като "Stagefright". Просто получаването на злонамерено MMS съобщение може да доведе до компрометиране на телефона ви. Изненадващо е, че не сме виждали червеи, разпространяващи се от телефона на телефона, като червеите в ранните дни на Windows XP - всички съставки са тук.
Това всъщност е малко по-лошо, отколкото звучи. Медиите до голяма степен се фокусираха върху метода на MMS атака, но дори видеоклипове с MP4, вградени в уеб страници или приложения, могат да компрометират телефона или таблета ви.
Някои коментатори наричат тази атака "Stagefright", но това всъщност е атака срещу компонент в Android, наречен Stagefright. Това е компонент за мултимедийни плейъри в Android. Има уязвимост, която може да бъде използвана - най-опасно чрез MMS, което е текстово съобщение с вградени мултимедийни компоненти.
Много производители на Android телефони са избрали неразумно да дават разрешения на Stagefright, което е с една стъпка под коренния достъп. Използването на Stagefright позволява на атакуващия да изпълнява произволен код с разрешения "медийни" или "системни", в зависимост от това как е конфигурирано устройството. Системните разрешения щяха да дадат на атакуващия основно пълно удовлетворение на устройството си. Zimperium, организацията, която откри и докладва за проблема, предлага повече подробности.
Типичните приложения за текстови съобщения с Android автоматично извличат входящи MMS съобщения. Това означава, че може да бъдете компрометирани само от някой, който ви изпраща съобщение по телефонната мрежа. При компрометиране на телефона червеят, който използва тази уязвимост, може да прочете контактите ви и да изпрати злонамерени MMS съобщения до вашите контакти, разпространявайки се като горски пожар като вируса на Мелиса, който се върна през 1999 г., използвайки Outlook и имейл контакти.
Първоначалните отчети бяха фокусирани върху MMS, защото това беше най-потенциално опасният вектор, с който Stagefright може да се възползва. Но това не е само MMS. Както посочи Тренд Микро, тази уязвимост е в компонента "mediaserver" и зловреден MP4 файл, вграден в уеб страница, може да го използва - да, само като навигирате до уеб страница в уеб браузъра си. Файлът MP4, вграден в приложение, което иска да използва устройството ви, може да направи същото.
Вашето устройство с Android вероятно е уязвимо. Деветдесет и пет процента от устройството с Android в дивата природа са уязвими на Stagefright.
За да проверите със сигурност, инсталирайте приложението Stagefright Detector от Google Play. Това приложение бе направено от Zimperium, който откри и съобщи за уязвимостта на Stagefright. Тя ще провери устройството ви и ще ви каже дали Stagefright е бил залепен на телефона ви с Android или не.
Доколкото знаем, Android антивирусните приложения няма да ви спасят от атаките на Stagefright. Те не разполагат непременно с достатъчно разрешения на системата, за да прихванат MMS съобщенията и да се намесват в системните компоненти. Google също така не може да актуализира компонента на услугите за Google Play в Android, за да поправи този проблем, което е мозъчно решение, което Google често използва, когато се появят дупки в сигурността.
За да не се компрометирате, трябва да предотвратите изтеглянето и пускането на MMS съобщения от вашето приложение за съобщения. По принцип това означава да изключите настройката "Автоматично извличане на MMS" в настройките си. Когато получите MMS съобщение, то няма да се изтегля автоматично - ще трябва да го изтеглите, като докоснете контейнер или нещо подобно. Няма да бъдете изложени на риск, освен ако не изберете да изтеглите MMS.
Не трябва да правиш това. Ако MMS е от човек, който не знаете, определено го игнорирайте. Ако MMS е от приятел, би било възможно техният телефон да бъде компрометиран, ако червеят започне да излита. Най-безопасно е никога да не изтегляте MMS съобщения, ако телефонът ви е уязвим.
За да деактивирате автоматичното извличане на MMS съобщения, следвайте съответните стъпки за приложението за съобщения.
Невъзможно е да се изгради пълен списък тук. Просто отворете приложението, което използвате за изпращане на SMS съобщения (текстови съобщения) и потърсете опция, която ще забрани "автоматично изтегляне" или "автоматично изтегляне" на MMS съобщения.
Внимание: Ако изберете да изтеглите MMS съобщение, все още сте уязвими. И тъй като уязвимостта на Stagefright не е само въпрос на MMS съобщение, това няма да ви защити напълно от всякакъв вид атаки.
Вместо да се опитвате да обработите бъг, би било по-добре телефонът Ви да получи актуализация, която да го фиксира. За съжаление ситуацията с актуализирането на Android в момента е кошмар. Ако имате скорошен флагман телефон, най-вероятно може да очаквате надстройване в даден момент - надяваме се. Ако имате по-стар телефон, особено телефонен кабел от по-нисък клас, има голям шанс, че никога няма да получите актуализация.
Google също каза пред Ars Technica, че "най-популярните устройства с Android" ще получат актуализацията през август, включително:
Motorola X също така обяви, че ще пусне телефоните си с актуализации, започващи през август, включително Moto X (първо и второ поколение), Moto X Pro, Moto Maxx / Turbo, Moto G (1-во, 2-ро и 3-то поколение) с 4G LTE (първо и второ поколение), Moto E (първо и второ поколение), Moto E с 4G LTE (второ поколение), DROID Turbo и DROID Ultra / Mini / Maxx.
Google Nexus, Samsung и LG се ангажираха да актуализират телефоните си с актуализации за сигурност веднъж месечно. Обаче това обещание наистина важи само за водещите телефони и ще изисква превозвачите да си сътрудничат. Не е ясно колко добре ще се получи това. Превозвачите биха могли да попречат на тези актуализации и това все още оставя голям брой хиляди различни модели на телефони в употреба без актуализацията.
CyanogenMod е персонализирана ROM на трети страни на Android, често използвана от ентусиасти. Тя въвежда актуална версия на Android на устройства, които производителите са спрели да поддържат. Това не е идеалното решение за обикновения човек, тъй като изисква отключване на буутлоудъра на вашия телефон. Но ако телефонът ви се поддържа, можете да използвате този трик, за да получите актуална версия на Android с актуализации на актуализациите. Не е лоша идея да инсталирате CyanogenMod, ако телефонът ви вече не се поддържа от производителя.
CyanogenMod е определила уязвимостта на Stagefright във вечерните версии, а фиксираната версия трябва да достигне стабилната версия скоро чрез актуализация на OTA.
Това е само едно от многото дупки в сигурността, които за жалост се натрупват стари устройства с Android. Това е особено зле, което получава повече внимание. Повечето устройства с Android - всички устройства, работещи с Android 4.3 и по-стари - имат например уязвим компонент на уеб браузър. Това никога няма да бъде поправено, освен ако устройствата не надхвърлят по-нова версия на Android. Можете да се предпазите от това, като използвате Chrome или Firefox, но този уязвим браузър ще бъде завинаги на тези устройства, докато бъдат заменени. Производителите не се интересуват от поддържането им актуализирани и поддържани, поради което толкова много хора са се обърнали към CyanogenMod.
Google, производителите на устройства с Android и мобилните оператори трябва да направят действията си в ред, тъй като сегашният метод за актуализиране - или по-скоро не се актуализира - устройствата с Android водят към екологична система с устройства, които изграждат дупки с течение на времето. Ето защо iPhone-а са по-сигурни от телефоните с Android - iPhones всъщност получават актуализации за сигурност. Apple се ангажира да актуализира iPhone телефони за по-дълго време от Google (само телефони с Nexus), Samsung и LG се ангажират да надстройват и телефоните си.
Вероятно сте чували, че използването на Windows XP е опасно, защото вече не се актуализира. XP ще продължи да изгражда дупки за сигурност с течение на времето и да става все по-уязвим. Ами, използването на повечето телефони с Android е по същия начин - те също не получават актуализации за сигурност.
Някои от тях могат да помогнат на червея Stagefright да поеме милиони телефони с Android. Google твърди, че ASLR и други защити по по-нови версии на Android помагат на Stagefright да не бъде атакуван и това изглежда да е частично вярно.
Някои клетъчни оператори също така блокират потенциално злонамерено MMS съобщение в края си, което им попречи да достигнат уязвими телефони. Това ще помогне на червея да не се разпространява чрез MMS съобщения, поне при превозвачите, които предприемат действия.
Image Credit: Матео Дони на Flickr
