Come il 95% dei telefoni Android può essere violato con un solo testo

Annuncio pubblicitario

Una nuova vulnerabilità Android preoccupa il mondo della sicurezza e lascia il tuo telefono Android estremamente vulnerabile. Il problema si presenta sotto forma di sei bug in un modulo Android innocuo chiamato Panico da palcoscenico, utilizzato per la riproduzione multimediale.

I bug StageFright consentono a un MMS dannoso, inviato da un hacker, di eseguire codice dannoso all'interno del modulo StageFright. Da lì, il codice ha una serie di opzioni per ottenere il controllo del dispositivo. A partire da ora, qualcosa come 950 milioni di dispositivi sono vulnerabili a questo exploit.

È, in poche parole, la peggiore vulnerabilità di Android nella storia.

Acquisizione silenziosa

Gli utenti Android si stanno già arrabbiando per la violazione e per buoni motivi. Una rapida scansione di Twitter mostra molti utenti furiosi che spuntano mentre le notizie permeano il web.

Da quello che ho sentito, anche i dispositivi Nexus non hanno ricevuto una patch #Panico da palcoscenico. Ha qualche telefono? http://t.co/bnNRW75TrD

- Thomas Brewster (@iblametom) 27 luglio 2015

Parte di ciò che rende questo attacco così spaventoso è che ci sono piccoli utenti che possono fare per proteggersi da esso. Probabilmente non saprebbero nemmeno che l'attacco è avvenuto.

Normalmente, per attaccare un dispositivo Android, è necessario convincere l'utente a installare un'app dannosa. Questo attacco è diverso: l'attaccante dovrebbe semplicemente conoscere il tuo numero di telefono e inviare un messaggio multimediale dannoso.

A seconda dell'app di messaggistica che usi, potresti non sapere nemmeno che il messaggio è arrivato. Ad esempio: se i tuoi messaggi MMS passano Google Hangouts di Andoid Come utilizzare Google Hangouts sul tuo AndroidGoogle+ Hangouts è la risposta di Google alle chat room. Puoi uscire con un massimo di 12 persone utilizzando video, audio e chat di testo, nonché diverse app opzionali. Hangout è disponibile sul tuo Android ... Leggi di più , il messaggio dannoso sarebbe in grado di assumere il controllo e nascondersi prima che il sistema avvisasse l'utente che era arrivato. In altri casi, l'exploit potrebbe non attivarsi fino a quando il messaggio non viene effettivamente visualizzato, ma la maggior parte degli utenti lo scriverebbe semplicemente come innocuo testo spam Identifica numeri sconosciuti e blocca i messaggi di testo spam con Truemessenger per AndroidTruemessenger è una fantastica nuova app per l'invio e la ricezione di messaggi di testo, in grado di dirti chi è un numero sconosciuto e bloccare lo spam. Leggi di più o un numero sbagliato.

Una volta all'interno del sistema, il codice in esecuzione su StageFright ha automaticamente accesso alla videocamera e al microfono, nonché alle periferiche bluetooth e ai dati memorizzati sulla scheda SD. È abbastanza male, ma (purtroppo) è solo l'inizio.

Mentre implementa Android Lollipop una serie di miglioramenti della sicurezza 8 modi per passare a Android Lollipop rende il tuo telefono più sicuroI nostri smartphone sono pieni di informazioni sensibili, quindi come possiamo mantenerci al sicuro? Con Android Lollipop, che offre un grande pugno nell'arena della sicurezza, offrendo funzionalità che migliorano la sicurezza su tutta la linea. Leggi di più , la maggior parte dei dispositivi Android lo sono ancora in esecuzione versioni precedenti del sistema operativo Una guida rapida alle versioni e agli aggiornamenti di Android [Android]Se qualcuno ti dice che stanno usando Android, non stanno dicendo quanto pensi. A differenza dei principali sistemi operativi per computer, Android è un ampio sistema operativo che copre numerose versioni e piattaforme. Se vuoi ... Leggi di più e sono vulnerabili a qualcosa chiamato "attacco escalation di privilegi". Normalmente, le app Android sono "sandbox Che cos'è un sandbox e perché dovresti giocare in unoI programmi altamente connettivi possono fare molto, ma sono anche un invito aperto a colpire i pirati informatici. Per evitare che gli scioperi abbiano successo, uno sviluppatore dovrebbe individuare e chiudere ogni singolo buco in ... Leggi di più ", Consentendo loro di accedere solo agli aspetti del sistema operativo che sono stati autorizzati a utilizzare esplicitamente. Gli attacchi di escalation di privilegi consentono al codice dannoso di "ingannare" il sistema operativo Android per dargli sempre più accesso al dispositivo.

Una volta che l'MMS dannoso ha preso il controllo di StageFright, potrebbe utilizzare questi attacchi per assumere il controllo totale su dispositivi Android meno recenti e non sicuri. Questo è uno scenario da incubo per la sicurezza dei dispositivi. Gli unici dispositivi totalmente immuni da questo problema sono quelli che eseguono sistemi operativi più vecchi di Android 2.2 (Froyo), che è la versione che ha introdotto StageFright in primo luogo.

Risposta lenta

La vulnerabilità StageFright è stata originariamente scoperta ad aprile da Zimperium zLabs, un gruppo di ricercatori sulla sicurezza. I ricercatori hanno segnalato il problema a Google. Google ha rapidamente rilasciato una patch ai produttori - tuttavia, pochi produttori di dispositivi hanno effettivamente inviato la patch ai propri dispositivi. Il ricercatore che ha scoperto il bug, Joshua Drake, ritiene che circa 950 milioni dei circa un miliardo di dispositivi Android in circolazione stimati sono vulnerabili a qualche forma di attacco.

Sìì! @BlackHatEvents ha accettato gentilmente la mia richiesta di parlare delle mie ricerche su @AndroidStageFright! https://t.co/9BW4z6Afmg

- Joshua J. Drake (@jduck) 20 maggio 2015

I dispositivi di Google come il Nexus 6 sono stati parzialmente riparati secondo Drake, anche se permangono alcune vulnerabilità. In un'email a FORBES sull'argomento, Google ha rassicurato gli utenti che,

"La maggior parte dei dispositivi Android, compresi tutti i dispositivi più recenti, hanno più tecnologie progettate per rendere più difficile lo sfruttamento. I dispositivi Android includono anche un sandbox di applicazioni progettato per proteggere i dati degli utenti e altre applicazioni sul dispositivo ",

Tuttavia, questo non è molto di conforto. Fino a Android Jellybean I 12 migliori consigli su Jelly Bean per una nuova esperienza con Google TabletAndroid Jelly Bean 4.2, inizialmente distribuito su Nexus 7, offre una fantastica nuova esperienza tablet che supera le versioni precedenti di Android. Ha anche impressionato il nostro fan Apple residente. Se hai un Nexus 7, ... Leggi di più , il sandboxing in Android è stato relativamente debole e ci sono diversi exploit noti che possono essere utilizzati per aggirarlo. È davvero cruciale che i produttori introducano una patch adeguata per questo problema.

Cosa sai fare?

Sfortunatamente, i produttori di hardware possono essere estremamente lenti nell'implementare questo tipo di patch di sicurezza critiche. Vale sicuramente la pena contattare il dipartimento dell'assistenza clienti del produttore del dispositivo e chiedere un preventivo su quando saranno disponibili le patch. La pressione pubblica probabilmente aiuterà ad accelerare le cose.

Da parte di Drake, ha in programma di rivelare l'intera portata delle sue scoperte a DEFCON, una conferenza internazionale sulla sicurezza che si svolge all'inizio di agosto. Si spera che la pubblicità aggiunta stimolerà i produttori di dispositivi a rilasciare rapidamente gli aggiornamenti, ora che l'attacco è conoscenza comune.

Su una nota più ampia, questo è un buon esempio del perché la frammentazione di Android è un incubo di sicurezza.

Ancora una volta è un disastro #android gli aggiornamenti sono nelle mani dei produttori di hardware. Dovrebbe danneggiare seriamente Android. #Panico da palcoscenico

- Mike? (@Mipesom) 27 luglio 2015

Su un ecosistema bloccato come iOS, una patch per questo potrebbe essere lanciata fuori in poche ore. Su Android, potrebbero essere necessari mesi o anni per velocizzare ogni dispositivo a causa dell'enorme livello di frammentazione. Sono interessato a scoprire quali soluzioni Google verrà proposta nei prossimi anni per iniziare a portare questi aggiornamenti fondamentali per la sicurezza nelle mani dei produttori di dispositivi.

Sei un utente Android interessato da questo problema? Preoccupato per la tua privacy? Fateci sapere che ne pensate nei commenti!

Credito immagine: Tastiera retroilluminata di Wikimedia