Annonse
En ny Android-sårbarhet har sikkerhetsverdenen bekymret - og den etterlater Android-telefonen din ekstremt sårbar. Problemstillingen kommer i form av seks feil i en uskyldig Android-modul kalt Sceneskrekk, som brukes til medieavspilling.
StageFright-bugs lar en ondsinnet MMS, sendt av en hacker, utføre ondsinnet kode i StageFright-modulen. Derfra har koden en rekke alternativer for å få kontroll over enheten. Nå som nå er 950 millioner enheter sårbare for denne utnyttelsen.
Det er ganske enkelt sagt den verste Android-sårbarheten i historien.
Stille overtakelse
Android-brukere vokser allerede opprørt over bruddet, og med god grunn. En rask skanning av Twitter viser mange irriterende brukere som dukker opp når nyhetene gjennomsyrer nettet.
Fra det jeg hører, har til og med Nexus-enheter ikke fått noen lapp for #Sceneskrekk. Har noen telefon? http://t.co/bnNRW75TrD
- Thomas Brewster (@iblametom) 27. juli 2015
Noe av det som gjør dette angrepet så skummelt er at det er lite brukere som kan gjøre for å beskytte seg mot det. De vil sannsynligvis ikke engang vite at angrepet har skjedd.
Normalt, for å angripe en Android-enhet, må du få brukeren til å installere en ondsinnet app. Dette angrepet er annerledes: angriperen trenger ganske enkelt å kjenne telefonnummeret ditt og sende en ondsinnet multimediemelding.
Avhengig av hvilken meldingsapp du bruker, vet du kanskje ikke engang at meldingen kom. For eksempel: hvis MMS-meldingene dine går gjennom Andoid's Google Hangouts Slik bruker du Google Hangouts på Android-enGoogle+ Hangouts er Googles svar på chatterom. Du kan henge med opptil 12 personer ved hjelp av video-, lyd- og tekstprat, samt flere valgfrie apper. Hangout er tilgjengelig på Android ... Les mer , ville den ondsinnede meldingen kunne ta kontroll og skjule seg selv før systemet til og med varslet brukeren om at den var kommet. I andre tilfeller kan det hende at utnyttelsen ikke sparker inn før meldingen faktisk er sett, men de fleste brukere vil ganske enkelt avskrive den som ufarlig spam-tekst Identifiser ukjente numre og blokker søppelpostmeldinger med Truemessenger for AndroidTruemessenger er en fantastisk ny app for sending og mottak av tekstmeldinger, og den kan fortelle deg hvem et ukjent nummer er og blokkere spam. Les mer eller feil nummer.
Når du er inne i systemet, har kode som kjører i StageFright automatisk tilgang til kameraet og mikrofonen, så vel som Bluetooth-periferiutstyr, og alle data som er lagret på SD-kortet. Det er ille nok, men (dessverre) er det bare starten.
Mens Android Lollipop implementerer en rekke sikkerhetsforbedringer 8 måter å oppgradere til Android Lollipop gjør telefonen din sikrereSmarttelefonene våre er fulle av sensitiv informasjon, så hvordan kan vi holde oss trygge? Med Android Lollipop, som pakker en stor trøkk på sikkerhetsarenaen, og som bringer inn funksjoner som forbedrer sikkerheten overalt. Les mer , de fleste Android-enheter er kjører fortsatt eldre versjoner av OS En rask guide til Android-versjoner og oppdateringer [Android]Hvis noen forteller deg at de kjører Android, sier de ikke så mye du skulle tro. I motsetning til de viktigste operativsystemene for datamaskiner, er Android et bredt operativsystem som dekker flere versjoner og plattformer. Hvis du vil ... Les mer , og er sårbare for noe som kalles et "privilegium-opptrappingsangrep." Normalt er Android-apper “sandboxed Hva er en sandkasse, og hvorfor skal du leke i ettSvært koblende programmer kan gjøre mye, men de er også en åpen invitasjon for dårlige hackere til å slå til. For å forhindre at streik blir vellykket, må en utvikler få øye på og lukke hvert eneste hull i ... Les mer ", Slik at de bare får tilgang til de aspektene av operativsystemet som de har fått eksplisitt tillatelse til å bruke. Opptrappingsangrep for privilegier tillater ondsinnet kode å "lure" Android-operativsystemet til å gi den mer og mer tilgang til enheten.
Når den ondsinnede MMS har tatt kontroll over StageFright, kan den bruke disse angrepene for å ta total kontroll over eldre, usikre Android-enheter. Dette er et mareritt-scenario for enhetssikkerhet. De eneste enhetene som er helt immun mot dette problemet, er de som kjører operativsystemer som er eldre enn Android 2.2 (Froyo), som er versjonen som introduserte StageFright i utgangspunktet.
Langsom respons
StageFright-sårbarheten ble opprinnelig avdekket i april av Zimperium zLabs, en gruppe sikkerhetsforskere. Forskerne rapporterte problemet til Google. Google ga raskt ut en oppdatering til produsentene - men veldig få enhetsprodusenter har faktisk presset lappen til enhetene sine. Forskeren som oppdaget feilen, Joshua Drake, mener at om lag 950 millioner av anslagsvis en milliard Android-enheter i omløp er sårbare for en form for angrepet.
Jippi! @BlackHatEvents aksepterte nådig min underkastelse for å snakke om forskningen min @Androider StageFright! https://t.co/9BW4z6Afmg
- Joshua J. Drake (@jduck) 20. mai 2015
Googles egne enheter som Nexus 6 har delvis blitt oppdatert ifølge Drake, selv om det fortsatt er noen sårbarheter. I en e-post til FORBES om emnet forsikret Google brukere om at,
"De fleste Android-enheter, inkludert alle nyere enheter, har flere teknologier som er designet for å gjøre utnyttelsen vanskeligere. Android-enheter inkluderer også en applikasjonssandkasse designet for å beskytte brukerdata og andre applikasjoner på enheten, "
Dette er imidlertid ikke mye komfort. Før Android Jellybean Topp 12 Jelly Bean-tips for en ny Google Tablet-opplevelseAndroid Jelly Bean 4.2, opprinnelig sendt på Nexus 7, gir en flott ny nettbrettopplevelse som skisserer tidligere versjoner av Android. Det imponerte til og med vår bosatte Apple-fan. Hvis du har en Nexus 7, ... Les mer , sandkassen i Android har vært relativt svak, og det er flere kjente utnyttelser som kan brukes til å komme seg rundt den. Det er veldig viktig at produsentene ruller ut en skikkelig oppdatering for dette problemet.
Hva kan du gjøre?
Dessverre kan maskinvareprodusenter være ekstremt trege med å rulle ut slike kritiske sikkerhetsoppdateringer. Det er absolutt verdt å kontakte enhetsprodusentens kundesupport og be om et estimat på når lapper vil være tilgjengelige. Offentlig press vil sannsynligvis bidra til å få fart på tingene.
For Drakes del planlegger han å avsløre hele omfanget av funnene sine på DEFCON, en internasjonal sikkerhetskonferanse som finner sted i begynnelsen av august. Forhåpentligvis vil den ekstra reklamen anspore enhetsprodusenter til å gi ut oppdateringer raskt, nå som angrepet er vanlig kunnskap.
På et bredere notat er dette et godt eksempel på hvorfor Android-fragmentering er et så sikkerhetsmareritt.
Igjen er det en katastrofe #android oppdateringer er i hendene på maskinvareprodusentene. Bør skade Android alvorlig. #Sceneskrekk
- Mike? (@Mipesom) 27. juli 2015
På et avlåst økosystem som iOS, kan en patch for dette bli ruset ut i løpet av timer. På Android kan det ta måneder eller år å få hver enhet opp i fart på grunn av det enorme fragmenteringsnivået. Jeg er interessert i å se hvilke løsninger Google kommer opp i de kommende årene for å begynne å bringe disse sikkerhetsmessige oppdateringene ut av enhetsprodusentenes hender.
Er du en Android-bruker berørt av dette problemet? Bekymret for personvernet ditt? Gi oss beskjed om tankene dine i kommentarene!
Bildekreditt: Bakgrunnsbelyst tastatur av Wikimedia
Andre er en skribent og journalist med base i Sørvest, og garantert å være funksjonell opptil 50 grader Celcius, og er vanntett til en dybde på tolv meter.
