Det er faktisk litt verre enn det høres ut. Mediene har i stor grad fokusert på MMS-angrepsmetoden, men til og med MP4-videoer som er innebygd i nettsider eller apper, kan kompromittere telefonen eller nettbrettet.
Hvorfor Stagefright-feilen er farlig - det er ikke bare MMS
Noen kommentatorer har kalt dette angrepet "Stagefright", men det er faktisk et angrep på en komponent i Android som heter Stagefright. Dette er en multimedieavspillerkomponent i Android. Det har et sikkerhetsproblem som kan utnyttes - mest farlig via en MMS, som er en tekstmelding med innebygde multimediekomponenter.
Mange Android-telefonprodusenter har uklart valgt å gi Stagefright-systemtillatelser, som er ett trinn under root-tilgang. Utnyttelse av Stagefright gjør at en angriper kan kjøre arbtirary kode med enten "media" eller "system" tillatelser, avhengig av hvordan enheten er konfigurert. Systemtillatelser vil gi angriperen i utgangspunktet full tilgang til enheten. Zimperium, organisasjonen som oppdaget og rapporterte problemet, tilbyr flere detaljer.
Vanlige Android-tekstmeldingsprogrammer henter automatisk innkommende MMS-meldinger. Dette betyr at du kan bli kompromittert bare av noen som sender deg en melding via telefonnettverket. Med telefonen din kompromittert, kan en orm som bruker dette sikkerhetsproblemet lese dine kontakter og sende ondsinnede MMS-meldinger til kontaktene dine, som sprer seg som en brann som Melissa-viruset kom tilbake i 1999 ved hjelp av Outlook og e-postkontakter.
Innledende rapporter fokusert på MMS fordi det var den mest potensielt farlige vektoren Stagefright kunne dra nytte av. Men det er ikke bare MMS. Som Trend Micro påpekte, er dette sårbarheten i komponenten "mediaserver", og en ondsinnet MP4-fil som er innebygd på en nettside, kan utnytte den - ja, bare ved å navigere til en nettside i nettleseren din. En MP4-fil innebygd i en app som vil utnytte enheten din, kan gjøre det samme.
Er din smarttelefon eller tablett sårbar?
Android-enheten din er sannsynligvis sårbar. Ninetyfem prosent av Android-enheten i naturen er sårbar for Stagefright.
For å sjekke, må du installere Stagefright Detector App fra Google Play. Denne appen ble laget av Zimperium, som oppdaget og rapporterte Stagefright sårbarheten. Det vil sjekke enheten din og fortelle om Stagefright har blitt patched på Android-telefonen eller ikke.
Slik hindrer du angrep angrep hvis du er utsatt
Så vidt vi vet, vil Android-antivirusappene ikke redde deg fra Stagefright-angrep. De har ikke nødvendigvis nok systemtillatelser til å fange MMS-meldinger og forstyrre systemkomponenter. Google kan også ikke oppdatere Google Play Services-komponenten i Android for å fikse denne feilen, en lappeløsning som Google ofte bruker når sikkerhetshullene vises.
For å forhindre deg i å bli kompromittert, må du forhindre at meldingsprogrammet ditt kan lastes ned og starte MMS-meldinger. Generelt betyr dette at deaktiverer innstillingen "MMS automatisk gjenoppretting" i innstillingene. Når du mottar en MMS-melding, lastes den ikke automatisk ned - du må laste den ned ved å trykke på en plassholder eller noe lignende. Du vil ikke være i fare hvis du ikke velger å laste ned MMS.
Du bør ikke gjøre dette. Hvis MMS er fra noen du ikke vet, ignorerer du definitivt den. Hvis MMS er fra en venn, ville det være mulig at telefonen har blitt skadet hvis en orm begynner å ta av. Det er tryggest å aldri laste ned MMS-meldinger hvis telefonen din er sårbar.
For å deaktivere automatisk gjenoppretting av MMS-meldinger, følg de riktige trinnene for meldingsprogrammet ditt.
- Meldinger (innebygd i Android): Åpne Meldinger, trykk på menyknappen, og trykk på Innstillinger. Rull ned til "Multimedia (MMS) meldinger" og fjern merket "Auto-retrieve."
- budbringer (av Google): Åpne Messenger, trykk på menyen, trykk på Innstillinger, trykk på Avansert, og deaktiver "Automatisk henting."
- Hangouts (av Google): Åpne Hangouts, trykk på menyen, og naviger til Innstillinger> SMS. Fjern merket for "Automatisk hent SMS" under Avansert. (Hvis du ikke ser SMS-alternativer her, bruker ikke telefonen Hangouts for SMS. Deaktiver innstillingen i SMS-appen du bruker i stedet.)
- meldinger (av Samsung): Åpne meldinger og naviger til Mer> Innstillinger> Flere innstillinger. Trykk på Multimediemeldinger og deaktiver alternativet "Automatisk henting". Denne innstillingen kan være på et annet sted på forskjellige Samsung-enheter, som bruker forskjellige versjoner av Meldings-appen.
Det er umulig å bygge en komplett liste her. Bare åpne appen du bruker til å sende SMS-meldinger (tekstmeldinger) og se etter et alternativ som deaktiverer "automatisk henting" eller "automatisk nedlasting" av MMS-meldinger.
Advarsel: Hvis du velger å laste ned en MMS, er du fortsatt sårbar.Og da sårbarheten fra Stagefright ikke bare er et problem med MMS-meldinger, vil det ikke beskytte deg helt fra alle typer angrep.
Når kommer telefonen din til å få en patch?
I stedet for å forsøke å jobbe rundt feilen, ville det være bedre hvis telefonen bare mottok en oppdatering som fikserte den. Dessverre er Android-oppdateringssituasjonen for øyeblikket et mareritt. Hvis du har en ny flaggskip, kan du sannsynligvis forvente en oppgradering på et tidspunkt - forhåpentligvis. Hvis du har en eldre telefon, spesielt en nedre telefon, er det en god sjanse for at du aldri får en oppdatering.
- Nexus-enheter: Google har nå gitt ut oppdateringer for Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 og Nexus 10. Den opprinnelige Nexus 7 (2012) er tilsynelatende ikke lenger støttet og vil ikke bli patched
- Samsung: Sprint har begynt å skyve ut oppdateringer til Galaxy S5, S6, S6 Edge og Note Edge. Det er uklart når andre luftfartsselskaper presser disse oppdateringene ut.
Google fortalte også Ars Technica at "de mest populære Android-enhetene" ville få oppdateringen i august, inkludert:
- Samsung: Galaxy S3, S4 og Note 4, i tillegg til telefonene ovenfor.
- HTC: One M7, One M8 og One M9.
- LG: G2, G3 og G4.
- Sony: Xperia Z2, Z3, Z4 og Z3 Compact.
- Android One enheter som støttes av Google
Motorola har også kunngjort at det vil bli patching sine telefoner med oppdateringer som begynner i august, inkludert Moto X (1. og 2. generasjon), Moto X Pro, Moto Maxx / Turbo, Moto G (1., 2. og 3. generasjon), Moto G med 4G LTE (1. og 2. generasjon), Moto E (1. og 2. generasjon), Moto E med 4G LTE (2. generasjon), DROID Turbo og DROID Ultra / Mini / Maxx.
Google Nexus, Samsung og LG har alle forpliktet seg til å oppdatere sine telefoner med sikkerhetsoppdateringer en gang per måned. Dette løftet gjelder imidlertid bare for flaggskiptelefoner og vil kreve at operatører samarbeider. Det er uklart hvor godt dette ville fungere. Bærere kan potensielt stå i veien for disse oppdateringene, og dette gir fortsatt et stort antall - tusenvis av forskjellige modeller - av telefoner uten bruk uten oppdatering.
Eller bare installer CyanogenMod
CyanogenMod er en tredjeparts tilpasset ROM av Android som ofte brukes av entusiaster. Det bringer en nåværende versjon av Android til enheter som produsenter har sluttet å støtte. Dette er egentlig ikke den ideelle løsningen for den gjennomsnittlige personen, da det krever å låse opp opplåseren til telefonen. Men hvis telefonen din støttes, kan du bruke dette trikset for å få en nåværende versjon av Android med nåværende sikkerhetsoppdateringer. Det er ikke en dårlig ide å installere CyanogenMod hvis telefonen ikke lenger støttes av produsenten.
CyanogenMod har løst Stagefright-sårbarheten i nattlige versjoner, og fikseringen skal gjøre det til den stabile versjonen snart via en OTA-oppdatering.
Android har et problem: De fleste enheter får ikke sikkerhetsoppdateringer
Dette er bare en av de mange sikkerhetshullene som gamle Android-enheter bygger opp, dessverre. Det er bare en spesielt dårlig som får mer oppmerksomhet. Flertallet av Android-enheter - alle enheter som kjører Android 4.3 og eldre - har for eksempel en sårbar nettleserkomponent. Dette blir aldri oppdatert med mindre enhetene oppgraderer til en nyere versjon av Android. Du kan bidra til å beskytte deg mot det ved å kjøre Chrome eller Firefox, men den sårbare nettleseren vil alltid være på disse enhetene til de blir erstattet. Produsenter er ikke interessert i å holde dem oppdatert og opprettholdt, og derfor har så mange mennesker vendt seg til CyanogenMod.
Google, Android-enhetprodusenter og mobiloperatører må få sin handling i orden, som dagens oppdateringsmetode - eller rettere ikke oppdatering - Android-enheter fører til et Android-økosystem med enheter som bygger opp hull over tid. Dette er grunnen til at iPhone er sikrere enn Android-telefoner - iPhone får faktisk sikkerhetsoppdateringer. Apple har forpliktet seg til å oppdatere iPhones lenger enn Google (bare Nexus-telefoner), Samsung og LG kommer til å oppgradere sine telefoner også.
Du har sikkert hørt at bruk av Windows XP er farlig fordi den ikke lenger blir oppdatert. XP vil fortsette å bygge opp sikkerhetshull over tid og bli mer og mer sårbar. Vel, bruk av de fleste Android-telefoner er på samme måte - de mottar heller ikke sikkerhetsoppdateringer.
Enkelte utnyttelsesreduksjoner kan bidra til å forhindre at en Stagefright-orm tar over millioner av Android-telefoner. Google hevder at ASLR og andre beskyttelser på nyere versjoner av Android bidrar til å hindre at Stagefright blir angrepet, og dette synes å være delvis sant.
Noen mobiloperatører ser også ut til å blokkere potensielt ondsinnet MMS-melding på slutten, slik at de aldri når sårbare telefoner. Dette vil bidra til at en orm ikke sprer seg via MMS, i hvert fall på operatører som tar tiltak.
