Если у вас есть устройство Android, вы, вероятно, хорошо знаете об ошибке Stagefright.
Телефоны Google, Samsung, HTC, LG, Sony и Blackphone, а также различные операторы выпустили патч для Stagefright, но, видимо, этого может быть недостаточно.
Охранная фирма Exodus Intelligence обнаружила ошибку в конкретной настройке исходного кода, которая была ответственна за сбой устройства при открытии данных в мультимедийном сообщении. И, по словам компании, это может быть использовано.
$config[code] not foundИсход со своей стороны сказал:
«Было слишком большое внимание к этой ошибке - мы считаем, что мы, вероятно, не единственные, кто заметил, что она ошибочна. У других могут быть злые намерения ».
Неправильно сформированный видеофайл MP4 дает сбой даже в исправленных библиотеках Android Stagefright, оставляя устройства, на которых они работают, уязвимыми для атак.
Эта конкретная проблема была обнаружена около 31 июля, когда исследователь безопасности Exodus Intelligence Джордан Грусковняк заметил серьезную проблему с предложенным исправлением. Он создал MP4, чтобы обойти патч, и его встретили с треском, когда он был протестирован.
Важно отметить, что все распространенные уязвимости и уязвимости (CVE) были исправлены, и Google присвоил обнаружение Exodus с помощью CVE-2015-3864, поэтому он хорошо осведомлен о проблеме.
Так что же такое Stagefright и почему это так опасно?
По данным Zimperium:
«Эти уязвимости чрезвычайно опасны, поскольку они не требуют, чтобы жертва предпринимала какие-либо действия для эксплуатации. В отличие от фишинг-фишинга, когда жертве необходимо открыть файл PDF или ссылку, отправленную злоумышленником, эта уязвимость может быть активирована во время сна ». Компания продолжила:« Перед тем как проснуться, злоумышленник удалит все признаки того, что устройство взломано, и вы продолжите свой день как обычно - с троянским телефоном ».
Эксплойт Android Stagefright может использовать недостатки ОС Android, которые он использует для обработки, воспроизведения и записи мультимедийных файлов.
Отправив MMS, Stagefright может проникнуть в ваше устройство, и после заражения злоумышленник получает удаленный доступ к вашему микрофону, камере и внешнему хранилищу. В некоторых случаях также можно получить root-доступ к устройству.
Ошибка Android Stagefright была первоначально обнаружена вице-президентом Zimperium zLabs из отдела исследования и разработки платформ Джошуа Дж. Дрейком в апреле. Позже он сказал, что он и его команда считают, что это «худшая уязвимость Android, обнаруженная на сегодняшний день», и что «она критически демонстрирует 95 процентов устройств Android, примерно 950 миллионов устройств».
Zimperium сообщил об уязвимости Google вместе с исправлениями, и он быстро отреагировал, применив исправления к внутренним ветвям кода в течение 48 часов.
Что вы можете сделать, пока не найдете окончательного решения проблемы?
Прежде всего, отвечайте только на сообщения из источников, которым вы доверяете. Кроме того, отключите функцию автоматической загрузки MMS-сообщений в SMS, видеовстречах и видео в приложениях, установленных на вашем устройстве.
Каждое приложение и устройство имеет свое собственное местоположение, но оно обычно находится в настройках и загрузке мультимедиа. Если вы не можете найти его для своего конкретного приложения, обратитесь к издателю приложения.
Ранее в этом месяце Google объявил, что будет выпускать ежемесячные исправления безопасности для устройств Android на конференции по безопасности Black Hat, и Samsung последует их примеру.
Компания, которая впервые обнаружила Stagefright, имеет приложение, доступное в Google Play. Он позволяет вам узнать, уязвимо ли ваше устройство, какие CVE уязвимы для вашего устройства и нужно ли вам обновить мобильную операционную систему. Он также тестирует CVE-2015-3864, выявленную уязвимость Exodus Intelligence.
Android - самая популярная платформа для мобильных ОС, но она очень фрагментирована. Это означает, что не все используют последнюю версию ОС или обновление для системы безопасности, что затрудняет обеспечение защиты каждого устройства Android.
Если производитель вашего смартфона не исправил ваше устройство, возьмите дело в свои руки и убедитесь, что у вас всегда есть последнее обновление для вашего устройства.
Изображение: Stagefright Detector / Lookout Mobile Security
Ещё в: Google 3 Комментария ▼
