1Sep
O Android tem um erro de segurança maciço em um componente conhecido como "Stagefright". Apenas receber uma mensagem MMS maliciosa pode resultar em comprometimento do seu telefone.É surpreendente que não tenhamos visto um worm espalhar de telefone para celular como worms nos dias anteriores do Windows XP - todos os ingredientes estão aqui.
Na verdade, é um pouco pior do que parece. A mídia se concentrou principalmente no método de ataque MMS, mas mesmo os vídeos MP4 incorporados em páginas da web ou aplicativos podem comprometer o seu telefone ou tablet.
Por que a falha Scenefright é perigosa - não é apenas MMS
Alguns comentadores chamaram este ataque "Stagefright", mas é realmente um ataque em um componente no Android chamado Stagefright. Este é um componente de player multimídia no Android. Possui uma vulnerabilidade que pode ser explorada - mais perigosamente através de um MMS, que é uma mensagem de texto com componentes multimídia incorporados.
Muitos fabricantes de telefones Android não foram escolhidos para dar permissões ao sistema Stagefright, que é um passo abaixo do acesso à raiz. Exploiting Stagefright permite que um invasor execute código arbitrário com as permissões "mídia" ou "sistema", dependendo da forma como o dispositivo está configurado. As permissões do sistema dariam ao atacante basicamente completar o acesso ao seu dispositivo. Zimperium, a organização que descobriu e denunciou o problema, oferece mais detalhes.
Os aplicativos típicos de mensagens de texto do Android recuperam automaticamente as mensagens MMS recebidas. Isso significa que você pode ser comprometido apenas por alguém que lhe envie uma mensagem pela rede telefônica. Com o seu telefone comprometido, um worm que usa essa vulnerabilidade pode ler seus contatos e enviar mensagens MMS maliciosas para seus contatos, espalhando-se como um incêndio como o vírus Melissa voltou em 1999 usando o Outlook e contatos de e-mail.
Relatórios iniciais focados em MMS porque esse era o vetor potencialmente perigoso que Stagefright poderia tirar proveito. Mas não é apenas MMS.Como a Trend Micro apontou, esta vulnerabilidade está no componente "mediaserver" e um arquivo MP4 malicioso embutido em uma página da Web poderia explorá-lo - sim, apenas navegando para uma página da web no seu navegador. Um arquivo MP4 incorporado em um aplicativo que deseja explorar seu dispositivo pode fazer o mesmo.
O seu smartphone ou tablet é vulnerável?
Seu dispositivo Android provavelmente é vulnerável. Noventa e cinco por cento dos dispositivos Android na vida selvagem são vulneráveis a Stagefright.
Para verificar a certeza, instale o aplicativo Stagefright Detector do Google Play. Este aplicativo foi feito por Zimperium, que descobriu e relatou a vulnerabilidade da Stagefright. Ele verificará seu dispositivo e informará se o Stagefright foi corrigido no seu telefone Android ou não.
Como prevenir ataques de Stagefright se você for vulnerável
Tanto quanto sabemos, os aplicativos antivírus do Android não o salvam dos ataques do Stagefright. Eles não possuem necessariamente permissões de sistema suficientes para interceptar mensagens MMS e interferir com os componentes do sistema. O Google também não pode atualizar o componente do Google Play Services no Android para corrigir esse erro, uma solução de patchwork que o Google emprega frequentemente quando os buracos de segurança aparecem.
Para evitar que você seja comprometido, você precisa impedir que seu aplicativo de mensagens de escolha seja baixado e iniciando mensagens MMS.Em geral, isso significa desativar a configuração "MMS auto-retrieval" nas suas configurações. Quando você recebe uma mensagem MMS, não irá baixar automaticamente - você terá que fazer o download tocando em um espaço reservado ou algo parecido. Você não estará em risco, a menos que você opte por fazer o download do MMS.
Você não deve fazer isso. Se o MMS é de alguém que você não conhece, ignore definitivamente. Se o MMS é de um amigo, seria possível que seu telefone tenha sido comprometido se um verme começasse a decolar.É mais seguro nunca baixar mensagens MMS se o seu telefone estiver vulnerável.
Para desativar a recuperação automática da mensagem MMS, siga as etapas apropriadas para seu aplicativo de mensagens.
- Messaging ( incorporado no Android): Abra Mensagens, toque o botão de menu e toque em Configurações. Desça até a seção "Mensagens multimídia( MMS)" e desmarque "Recuperar automaticamente".
- Messenger ( pelo Google): abra Messenger, toque no menu, toque Configurações, toque em Avançado e desative "Recuperação automática".
- Hangouts( pelo Google): abra Hangouts, toque no menu e navegue até Configurações & gt;SMS.Desmarque "Auto recuperar SMS" em Avançado.(Se você não vê as opções de SMS aqui, seu telefone não está usando Hangouts para SMS. Desative a configuração no aplicativo SMS que você usa em vez disso.)
- Mensagens ( por Samsung): Abra Mensagens e navegue para Mais & gt;Configurações & gt;Mais configurações. Toque em Mensagens multimídia e desative a opção "Recuperação automática".Essa configuração pode estar em um ponto diferente em diferentes dispositivos Samsung, que usam diferentes versões do aplicativo Mensagens.
É impossível criar uma lista completa aqui. Basta abrir o aplicativo que você usa para enviar mensagens SMS( mensagens de texto) e procurar uma opção que desative "recuperação automática" ou "download automático" de mensagens MMS.
Aviso : Se você optar por baixar uma mensagem MMS, você ainda é vulnerável. E, como a vulnerabilidade Stagefright não é apenas uma questão de mensagem MMS, isso não o protegerá completamente de todos os tipos de ataques.
Quando seu telefone está recebendo um patch?
Ao invés de tentar trabalhar em torno do bug, seria melhor se o seu telefone recebesse apenas uma atualização que o corrigisse. Infelizmente, a situação de atualização do Android é atualmente um pesadelo. Se você tem um telefone principal da marca principal, provavelmente você pode esperar uma atualização em algum momento - com sorte. Se você tem um telefone antigo, especialmente um telefone de baixo custo, há uma boa chance de você nunca receber uma atualização.
- Nexus Devices : o Google lançou atualizações para o Nexus 4, Nexus 5, Nexus 6, Nexus 7( 2013), Nexus 9 e Nexus 10. O original Nexus 7( 2012) aparentemente não é mais suportado e não iráser corrigido
- Samsung : Sprint começou a enviar as atualizações para o Galaxy S5, S6, S6 Edge e Note Edge. Não está claro quando outras operadoras estão empurrando essas atualizações para fora.
O Google também disse à Ars Technica que "os dispositivos Android mais populares" receberiam a atualização em agosto, incluindo:
- Samsung : o Galaxy S3, S4 e a Nota 4, além dos telefones acima.
- HTC : The One M7, One M8 e One M9.
- LG : O G2, G3 e G4.
- Sony : O Xperia Z2, Z3, Z4 e Z3 Compact.
- Android One dispositivos suportados pelo Google
A Motorola também anunciou que irá corrigir seus telefones com atualizações a partir de agosto, incluindo o Moto X( 1ª e 2ª geração), Moto X Pro, Moto Maxx / Turbo, Moto G( 1º,2ª e 3ª geração), Moto G com 4G LTE( 1ª e 2ª geração), Moto E( 1ª e 2ª geração), Moto E com 4G LTE( 2ª geração), DROID Turbo e DROID Ultra /Mini/ Maxx.
O Google Nexus, Samsung e a LG comprometeram-se a atualizar seus telefones com atualizações de segurança uma vez por mês. No entanto, esta promessa apenas se aplica aos telefones emblemáticos e exigiria que as operadoras cooperassem. Não está claro o quanto isso funcionaria. As operadoras poderiam potencialmente interferir nestas atualizações, e isso ainda deixa um grande número - milhares de modelos diferentes - de telefones em uso sem a atualização.
Ou, apenas instale CyanogenMod
CyanogenMod é uma ROM personalizada de terceiros do Android, usada frequentemente pelos entusiastas. Ele traz uma versão atual do Android para dispositivos que os fabricantes deixaram de suportar. Esta não é realmente a solução ideal para a pessoa média, pois exige o desbloqueio do carregador de inicialização do seu telefone. Mas, se o seu telefone for suportado, você pode usar esse truque para obter uma versão atual do Android com atualizações de segurança atuais. Não é uma má idéia instalar o CyanogenMod se o seu telefone não for mais suportado pelo fabricante.
CyanogenMod corrigiu a vulnerabilidade da Stagefright nas versões noturnas e a correção deve chegar à versão estável em breve através de uma atualização OTA.
Android tem um problema: a maioria dos dispositivos não obtém atualizações de segurança
Este é apenas um dos muitos obstáculos de segurança que os dispositivos antigos do Android se acumulam, infelizmente.É apenas um particularmente ruim que está recebendo mais atenção. A maioria dos dispositivos Android - todos os dispositivos com o Android 4.3 ou superior - tem um componente de navegador web vulnerável, por exemplo. Isso nunca será corrigido, a menos que os dispositivos atualizem para uma versão mais recente do Android. Você pode ajudar a proteger-se contra ele executando o Chrome ou o Firefox, mas esse navegador vulnerável estará sempre nesses dispositivos até serem substituídos. Os fabricantes não estão interessados em mantê-los atualizados e mantidos, e é por isso que tantas pessoas se voltaram para o CyanogenMod.
O Google, os fabricantes de dispositivos Android e as operadoras de celular precisam atuar, já que o atual método de atualização - ou melhor, não atualizando - os dispositivos Android está levando a um ecossistema Android com dispositivos que acumulam buracos ao longo do tempo.É por isso que os iPhones são mais seguros que os telefones Android - os iPhones realmente recebem atualizações de segurança. A Apple comprometeu-se a atualizar iPhones por mais tempo do que o Google( somente para telefones Nexus), a Samsung e a LG estão comendo para atualizar seus telefones também.
Você provavelmente já ouviu falar que usar o Windows XP é perigoso porque já não está sendo atualizado. O XP continuará a construir furos de segurança ao longo do tempo e tornar-se cada vez mais vulnerável. Bem, usar a maioria dos telefones Android é da mesma maneira - eles também não estão recebendo atualizações de segurança.
Algumas mitigações de exploração podem ajudar a impedir que um verme Stagefright se encarregue de milhões de telefones Android. O Google argumenta que o ASLR e outras proteções em versões mais recentes do Android ajudam a impedir que o Stagefright seja atacado, e isso parece ser parcialmente verdadeiro.
Algumas operadoras de celular também parecem estar bloqueando mensagens MMS potencialmente mal-intencionadas no final, impedindo que elas atinjam telefones vulneráveis. Isso ajudaria a impedir que um verme se espalhasse através de mensagens MMS, pelo menos em operadoras a tomar medidas.
Crédito de Imagem: Matteo Doni no Flickr