Android's Stagefright Exploit Det du behöver veta och hur man skyddar dig själv

Android har en massiv säkerhetsbugg i en komponent som kallas "Stagefright." Bara att ta emot ett skadligt MMS-meddelande kan leda till att din telefon skadas. Det är förvånande att vi inte har sett en mask sprida från telefon till telefon som maskar gjorde i de tidiga Windows XP-dagarna - alla ingredienser är här.

Det är faktiskt lite sämre än det låter. Medierna har till stor del fokuserat på MMS-angreppsmetoden, men även MP4-videor inbäddade i webbsidor eller appar kan äventyra din telefon eller surfplatta.

Varför Stagefright Flaw är farligt - det är inte bara MMS

Vissa kommentatorer har kallat denna attack "Stagefright", men det är faktiskt en attack på en komponent i Android som heter Stagefright. Detta är en multimedia-spelare komponent i Android. Det har en sårbarhet som kan utnyttjas - mest farligt via ett MMS, vilket är ett textmeddelande med inbyggda multimediekomponenter.

Många Android-telefonproducenter har oklokat valt att ge Stagefright-systembehörigheter, vilket är ett steg under root-åtkomst. Utnyttjande av Stagefright tillåter en angripare att köra löpande kod med antingen "media" eller "system" tillstånd, beroende på hur enheten är konfigurerad. Systembehörigheter skulle ge attackeren i princip fullständig åtkomst till enheten. Zimperium, organisationen som upptäckte och rapporterade frågan, erbjuder mer information.

Vanliga Android-meddelanden för textmeddelanden hämtar automatiskt inkommande MMS-meddelanden. Det innebär att du kan äventyras av att någon skickar ett meddelande via telefonnätverket. Med din telefon komprometterad kunde en mask som använder det här säkerhetsproblemet läsa dina kontakter och skicka skadliga MMS-meddelanden till dina kontakter och sprida sig som ett eldsväpp som Melissa-viruset återvände 1999 med Outlook och e-postkontakter.

Initiala rapporter inriktade på MMS eftersom det var den mest potentiellt farliga vektorn Stagefright kunde dra nytta av. Men det är inte bara MMS. Som Trend Micro påpekade är denna sårbarhet i komponenten "mediaserver" och en skadlig MP4-fil inbäddad på en webbsida kan utnyttja den - ja, bara genom att navigera till en webbsida i din webbläsare. En MP4-fil inbäddad i en app som vill utnyttja enheten kan göra detsamma.

Är din Smartphone eller Tablet Sårbar?

Din Android-enhet är förmodligen sårbar. Nittiofem procent av Android-enheten i naturen är sårbar för Stagefright.

För att kontrollera säker, installera Stagefright Detector App från Google Play. Den här appen gjordes av Zimperium, som upptäckte och rapporterade Stagefright sårbarheten. Det kommer att kontrollera din enhet och berätta om Stagefright har blivit patched på din Android-telefon eller inte.

Så här förebygger du angrepp mot attacker om du är utsatt

Såvitt vi vet kommer Android-antivirusapparna inte att rädda dig från Stagefright-attacker. De behöver inte nödvändigtvis tillräckligt med systembehörigheter för att fånga MMS-meddelanden och störa systemkomponenterna. Google kan inte uppdatera komponenten Google Play Services i Android för att åtgärda det här felet, en lapploppslösning använder Google ofta när säkerhetshål dyker upp.

För att verkligen hindra dig från att äventyras, måste du förhindra att din meddelandeprogram kan välja att ladda ner och starta MMS-meddelanden. I allmänhet innebär detta att inaktivera inställningen "MMS autohämtning" i dess inställningar. När du får ett MMS-meddelande laddas det inte automatiskt - du måste ladda ner det genom att peka på en platshållare eller något liknande. Du kommer inte vara i fara om du inte väljer att ladda ner MMS.

Du borde inte göra det här. Om MMS är från någon du inte vet, ignorera det definitivt. Om MMS är från en vän skulle det vara möjligt att deras telefon har äventyras om en mask börjar börja. Det är säkert att aldrig hämta MMS-meddelanden om telefonen är sårbar.

Om du vill inaktivera automatisk automatisk hämtning av MMS, följ de lämpliga stegen för din meddelandeprogram.

Messaging (inbyggd i Android): Öppna Meddelanden, tryck på menyknappen och tryck på Inställningar. Bläddra ner till "Multimedia (MMS) meddelanden" och avmarkera "Auto-retrieve."
budbärare (av Google): Öppna Messenger, tryck på menyn, tryck på Inställningar, tryck på Avancerat och inaktivera "Auto retrieve."
Hangouts (av Google): Öppna Hangouts, tryck på menyn och gå till Inställningar> SMS. Avmarkera "Auto hämta SMS" under Avancerat. (Om du inte ser SMS-alternativ här använder din telefon inte Hangouts för SMS. Inaktivera inställningen i SMS-appen du använder istället.)
meddelanden (av Samsung): Öppna meddelanden och navigera till Mer> Inställningar> Fler inställningar. Tryck på multimediameddelanden och inaktivera alternativet "Automatisk hämtning". Den här inställningen kan vara annorlunda på olika Samsung-enheter, som använder olika versioner av appen Meddelanden.

Det är omöjligt att bygga en komplett lista här. Öppna bara den app du använder för att skicka sms-meddelanden (textmeddelanden) och leta efter ett alternativ som inaktiverar "automatisk hämtning" eller "automatisk hämtning" av MMS-meddelanden.

Varning: Om du väljer att ladda ner ett MMS, är du fortfarande sårbar. Och eftersom Säkerhetsproblemet inte bara är ett MMS-meddelande, skyddar det dig inte helt från alla typer av attacker.

När är din telefon att få en patch?

I stället för att försöka arbeta runt buggan, skulle det vara bättre om din telefon bara fått en uppdatering som fixade den. Tyvärr är Android-uppdateringssituationen för närvarande en mardröm. Om du har en ny flaggskepps telefon kan du förmodligen förvänta dig en uppgradering vid någon tidpunkt - förhoppningsvis. Om du har en äldre telefon, i synnerhet en nedre telefon, finns det en bra chans att du aldrig får en uppdatering.

Nexus-enheter: Google har nu släppt uppdateringar för Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 och Nexus 10. Den ursprungliga Nexus 7 (2012) har uppenbarligen inte längre stöd och kommer inte att patchas
Samsung: Sprint har börjat skjuta ut uppdateringar till Galaxy S5, S6, S6 Edge och Note Edge. Det är oklart när andra operatörer driver ut dessa uppdateringar.

Google berättade också för Ars Technica att "de mest populära Android-enheterna" skulle få uppdateringen i augusti, inklusive:

Samsung: Galaxy S3, S4 och Note 4, förutom telefonerna ovan.
HTC: One M7, One M8 och One M9.
LG: G2, G3 och G4.
Sony: Xperia Z2, Z3, Z4 och Z3 Compact.
Android One enheter som stöds av Google

Motorola har också meddelat att det kommer att patchera sina telefoner med uppdateringar som börjar i augusti, inklusive Moto X (1: a och 2: e generationen), Moto X Pro, Moto Maxx / Turbo, Moto G (1: a, 2: a och 3: e generationen), Moto G med 4G LTE (1: a och 2: e generationen), Moto E (1: a och 2: e generationen), Moto E med 4G LTE (andra generationen), DROID Turbo och DROID Ultra / Mini / Maxx.

Google Nexus, Samsung och LG har alla åtagit sig att uppdatera sina telefoner med säkerhetsuppdateringar en gång per månad. Men detta löfte gäller bara för flaggskeppstelefoner och skulle kräva att bäverna samarbetar. Det är oklart hur bra det skulle fungera. Bärare kan eventuellt stå i vägen för dessa uppdateringar, och detta lämnar fortfarande ett stort antal - tusentals olika modeller - av telefoner utan användning utan uppdatering.

Eller installera bara CyanogenMod

CyanogenMod är en tredje part anpassad ROM av Android som ofta används av entusiaster. Den ger en aktuell version av Android till enheter som tillverkare har slutat stödja. Det här är inte riktigt den perfekta lösningen för den genomsnittliga personen eftersom det kräver att du låser upp telefonens startladdare. Men om telefonen stöds kan du använda det här tricket för att få en aktuell version av Android med aktuella säkerhetsuppdateringar. Det är inte en dålig idé att installera CyanogenMod om telefonen inte längre stöds av tillverkaren.

CyanogenMod har fixat Stagefright-sårbarheten i de nattliga versionerna, och fixen bör göra det till den stabila versionen snart via en OTA-uppdatering.

Android har ett problem: De flesta enheter får inte säkerhetsuppdateringar

Detta är bara en av de många säkerhetshål som gamla Android-enheter bygger upp, tyvärr. Det är bara en särskilt dålig som får mer uppmärksamhet. Majoriteten av Android-enheter - alla enheter som kör Android 4.3 och äldre - har exempelvis en sårbar webbläsarkomponent. Detta kommer aldrig att patchas om inte enheterna uppgraderar till en nyare version av Android. Du kan skydda dig mot det genom att köra Chrome eller Firefox, men den sårbara webbläsaren kommer alltid att finnas på de här enheterna tills de byts ut. Tillverkare är inte intresserade av att hålla dem uppdaterade och underhållna, varför så många människor har vänt sig till CyanogenMod.

Google, Android-enhetstillverkare och mobiloperatörer måste få sina handlingar i ordning, eftersom den nuvarande metoden att uppdatera - eller snarare inte uppdaterar - Android-enheter leder till ett Android-ekosystem med enheter som bygger upp hål över tid. Det är därför iPhone är säkrare än Android-telefoner - iPhone får faktiskt säkerhetsuppdateringar. Apple har förbundit sig att uppdatera iPhones längre än Google (endast Nexus-telefoner), Samsung och LG kommer att uppgradera sina telefoner också.

Du har nog hört att det är farligt att använda Windows XP eftersom det inte längre uppdateras. XP kommer fortsättningsvis att bygga upp säkerhetshål över tiden och bli mer och mer sårbar. Tja, det är samma sätt att använda de flesta Android-telefoner - de mottar inte heller säkerhetsuppdateringar.

Vissa utnyttjande begränsningar kan hjälpa till att förhindra att en Stagefright-mask tar över miljoner av Android-telefoner. Google hävdar att ASLR och andra skydd på senare versioner av Android hjälper till att förhindra att Stagefright attackeras, och det verkar vara delvis sant.

Vissa cellulära bärare verkar också blockera potentiellt skadligt MMS-meddelande i slutet, vilket hindrar dem från att någonsin nå sårbara telefoner. Detta skulle hjälpa till att förhindra att en mask sprids via MMS, åtminstone på bärare som vidtar åtgärder.

Bildkredit: Matteo Doni på Flickr