1Sep
Android a un énorme bug de sécurité dans un composant connu sous le nom de «Stagefright». Recevoir un message MMS illicite peut entraîner la compromission de votre téléphone. Il est surprenant que nous n'ayons pas vu un ver s'étendre d'un téléphone à l'autre comme les vers le font au début de Windows XP - tous les ingrédients sont ici.
C'est en fait un peu pire que ça en a l'air. Les médias se sont largement concentrés sur la méthode d'attaque MMS, mais même les vidéos MP4 intégrées dans des pages Web ou des applications pourraient compromettre votre téléphone ou votre tablette.
Pourquoi le défaut de Stagefright est dangereux - Ce n'est pas seulement MMS
Certains commentateurs ont appelé cette attaque "Stagefright", mais c'est en fait une attaque sur un composant sous Android nommé Stagefright. Ceci est un composant de lecteur multimédia dans Android. Il a une vulnérabilité qui peut être exploitée - le plus dangereusement via un MMS, qui est un message texte avec des composants multimédia intégrés.
De nombreux fabricants de téléphones Android ont choisi de manière imprudente d'accorder des autorisations système à Stagefright, ce qui est une étape en dessous de l'accès root. L'exploitation de Stagefright permet à un attaquant d'exécuter du code arbtirary avec les permissions "media" ou "system", selon la façon dont le périphérique est configuré.Les permissions du système permettraient à l'attaquant d'accéder à son appareil. Zimperium, l'organisation qui a découvert et signalé le problème, offre plus de détails.
Les applications de messagerie texte Android classiques récupèrent automatiquement les messages MMS entrants. Cela signifie que vous pourriez être compromis simplement par quelqu'un qui vous envoie un message sur le réseau téléphonique. Avec votre téléphone compromis, un ver utilisant cette vulnérabilité pourrait lire vos contacts et envoyer des messages MMS malveillants à vos contacts, se répandant comme une traînée de poudre comme le virus Melissa en 1999 en utilisant Outlook et les contacts de messagerie.
Les rapports initiaux se sont concentrés sur les MMS parce que c'était le vecteur le plus potentiellement dangereux dont Stagefright pourrait tirer parti. Mais ce n'est pas seulement MMS.Comme l'a fait remarquer Trend Micro, cette vulnérabilité se trouve dans le composant "mediaserver" et un fichier MP4 malveillant intégré à une page Web pourrait l'exploiter - oui, simplement en naviguant vers une page Web de votre navigateur Web. Un fichier MP4 intégré dans une application qui veut exploiter votre appareil pourrait faire la même chose.
Votre smartphone ou tablette est-il vulnérable?
Votre appareil Android est probablement vulnérable. Quatre-vingt-quinze pour cent des appareils Android dans la nature sont vulnérables à Stagefright.
Pour vérifier, installez l'application Stagefright Detector sur Google Play. Cette application a été faite par Zimperium, qui a découvert et signalé la vulnérabilité Stagefright. Il va vérifier votre appareil et vous dire si Stagefright a été patché sur votre téléphone Android ou non.
Comment prévenir les attaques Stagefright Si vous êtes vulnérable
Autant que nous le savons, les applications antivirus Android ne vous sauvera pas des attaques Stagefright. Ils n'ont pas nécessairement assez d'autorisations système pour intercepter les messages MMS et interférer avec les composants du système. Google ne peut pas non plus mettre à jour le composant Google Play Services sur Android pour corriger ce bug, une solution disparate que Google utilise souvent lorsque des failles de sécurité apparaissent.
Pour éviter de vous compromettre, vous devez empêcher votre application de messagerie de télécharger et de lancer des messages MMS.En général, cela signifie désactiver le paramètre "MMS auto-retrieval" dans ses paramètres. Lorsque vous recevez un message MMS, il ne sera pas automatiquement téléchargé - vous devrez le télécharger en appuyant sur un espace réservé ou quelque chose de similaire. Vous ne serez pas à risque si vous ne choisissez pas de télécharger le MMS.
Vous ne devriez pas faire cela. Si le MMS provient de quelqu'un que vous ne connaissez pas, ignorez-le définitivement. Si le MMS provient d'un ami, il est possible que son téléphone ait été compromis si un ver commence à décoller. Il est plus sûr de ne jamais télécharger de MMS si votre téléphone est vulnérable.
Pour désactiver la récupération automatique des messages MMS, suivez les étapes appropriées pour votre application de messagerie.
- Messagerie ( intégré dans Android): Ouvrez la messagerie, appuyez sur le bouton de menu et appuyez sur Paramètres.
- Messenger ( par Google): Ouvrez Messenger, appuyez sur le menu, appuyez sur Paramètres, appuyez sur Avancé, et désactivez "Récupération automatique".
- Hangouts( par Google): ouvrez Hangouts, appuyez sur le menu et accédez à Paramètres & gt;SMS.Décochez "Récupérer automatiquement SMS" sous Avancé.(Si vous ne voyez pas les options SMS ici, votre téléphone n'utilise pas Hangouts pour SMS. Désactivez le paramètre dans l'application SMS que vous utilisez à la place.) Messages
- ( par Samsung): ouvrez Messages et accédez à Plus & gt;Paramètres & gt;Plus de réglages. Appuyez sur Messages multimédia et désactivez l'option "Récupération automatique".Ce paramètre peut se trouver à un endroit différent sur différents appareils Samsung, qui utilisent différentes versions de l'application Messages.
Il est impossible de construire une liste complète ici. Il suffit d'ouvrir l'application que vous utilisez pour envoyer des messages SMS( messages texte) et recherchez une option qui désactivera "récupération automatique" ou "téléchargement automatique" des messages MMS.
Avertissement : Si vous choisissez de télécharger un message MMS, vous êtes toujours vulnérable. Et, comme la vulnérabilité Stagefright n'est pas seulement un problème de message MMS, cela ne vous protégera pas complètement de chaque type d'attaque.
Quand votre téléphone obtient-il un correctif?
Plutôt que de tenter de contourner le bogue, il serait préférable que votre téléphone reçoive une mise à jour qui l'a corrigé.Malheureusement, la situation des mises à jour Android est actuellement un cauchemar. Si vous avez un téléphone phare récent, vous pouvez probablement vous attendre à une mise à niveau à un moment donné - j'espère. Si vous avez un téléphone plus ancien, en particulier un téléphone bas de gamme, il y a de fortes chances que vous ne receviez jamais de mise à jour.
- Nexus Devices : Google a maintenant publié des mises à jour pour le Nexus 4, Nexus 5, Nexus 6, Nexus 7( 2013), Nexus 9 et Nexus 10. L'original Nexus 7( 2012) n'est apparemment plus pris en charge et ne sera pasêtre corrigé
- Samsung : Sprint a commencé à pousser des mises à jour vers le Galaxy S5, S6, S6 Edge et Note Edge. On ne sait pas quand d'autres transporteurs poussent ces mises à jour.
Google a également déclaré à Ars Technica que "les appareils Android les plus populaires" obtiendraient la mise à jour en août, y compris:
- Samsung : Le Galaxy S3, S4, et Note 4, en plus des téléphones ci-dessus.
- HTC : Le One M7, un M8 et un M9.
- LG : Le G2, G3 et G4.
- Sony : Le Xperia Z2, Z3, Z4 et Z3 Compact.
- Android One appareils pris en charge par Google
Motorola a également annoncé qu'il va patcher ses téléphones avec des mises à jour à partir du mois d'août, y compris le Moto X( 1ère et 2ème génération), Moto X Pro, Moto Maxx2ème et 3ème génération), Moto G avec 4G LTE( 1ère et 2ème génération), Moto E( 1ère et 2ème génération), Moto E avec 4G LTE( 2ème génération), DROID Turbo, et DROID Ultra /Mini/ Maxx.
Google Nexus, Samsung et LG se sont tous engagés à mettre à jour leurs téléphones avec des mises à jour de sécurité une fois par mois. Cependant, cette promesse ne s'applique réellement qu'aux téléphones phares et exigerait que les transporteurs coopèrent. On ne sait pas à quel point cela fonctionnerait. Les opérateurs pourraient potentiellement faire obstacle à ces mises à jour, et cela laisse encore un grand nombre - des milliers de modèles différents - de téléphones en usage sans la mise à jour.
Ou, installez simplement CyanogenMod
CyanogenMod est une ROM personnalisée tierce d'Android souvent utilisée par les passionnés. Il apporte une version actuelle d'Android aux appareils que les fabricants ont cessé de prendre en charge. Ce n'est pas vraiment la solution idéale pour la personne moyenne car elle nécessite le déverrouillage du chargeur de démarrage de votre téléphone. Mais, si votre téléphone est pris en charge, vous pouvez utiliser cette astuce pour obtenir une version actuelle d'Android avec les mises à jour de sécurité actuelles. Ce n'est pas une mauvaise idée d'installer CyanogenMod si votre téléphone n'est plus supporté par son fabricant.
CyanogenMod a corrigé la vulnérabilité Stagefright dans les versions nocturnes, et le correctif devrait bientôt arriver à la version stable via une mise à jour OTA.
Android a un problème: la plupart des périphériques n'obtiennent pas les mises à jour de sécurité
Ceci est juste l'un des nombreux trous de sécurité vieux appareils Android s'accumulent, malheureusement. C'est juste un particulièrement mauvais qui attire plus d'attention. La majorité des appareils Android - tous les appareils fonctionnant sous Android 4.3 et plus anciens - ont un composant de navigateur Web vulnérable, par exemple. Cela ne sera jamais corrigé à moins que les périphériques ne soient mis à niveau vers une version plus récente d'Android. Vous pouvez vous protéger contre cela en exécutant Chrome ou Firefox, mais ce navigateur vulnérable sera toujours sur ces appareils jusqu'à ce qu'ils soient remplacés. Les fabricants ne sont pas intéressés à les garder à jour et maintenus, ce qui explique pourquoi tant de gens se sont tournés vers CyanogenMod.
Google, les fabricants d'appareils Android et les opérateurs de téléphonie mobile doivent mettre de l'ordre dans leurs affaires, car la méthode actuelle de mise à jour - ou plutôt de mise à jour - des appareils Android conduit à un écosystème Android. C'est pourquoi les iPhones sont plus sécurisés que les téléphones Android - les iPhones reçoivent des mises à jour de sécurité.Apple s'est engagé à mettre à jour les iPhones pour plus longtemps que Google( téléphones Nexus uniquement), Samsung et LG sont également prêts à mettre à niveau leurs téléphones.
Vous avez probablement entendu dire que l'utilisation de Windows XP est dangereuse car elle n'est plus mise à jour. XP va continuer à accumuler des failles de sécurité au fil du temps et devenir de plus en plus vulnérable. Eh bien, l'utilisation de la plupart des téléphones Android est la même chose - ils ne reçoivent pas de mises à jour de sécurité non plus.
Certaines mesures d'atténuation pourraient empêcher un ver Stagefright de prendre le contrôle de millions de téléphones Android. Google fait valoir que ASLR et d'autres protections sur les versions plus récentes d'Android empêchent Stagefright d'être attaqué, et cela semble partiellement vrai.
Certains opérateurs de téléphonie mobile semblent également bloquer les messages MMS potentiellement malveillants de leur côté, les empêchant ainsi d'atteindre les téléphones les plus vulnérables. Cela empêcherait un ver de se propager via des messages MMS, au moins sur les opérateurs qui prennent des mesures.
Crédit d'image: Matteo Doni sur Flickr
