1Sep
Android har en omfattande säkerhetsfel i en komponent som kallas "Stagefright." Bara att ta emot ett skadligt MMS kan resultera i att din telefon blir äventyrad. Det är förvånande att vi inte har sett en mask sprida från telefon till telefon som maskar gjorde i de tidiga Windows XP-dagarna - alla ingredienser är här.
Det är faktiskt lite sämre än det låter. Medierna har till stor del fokuserat på MMS-angreppsmetoden, men även MP4-videor inbäddade i webbsidor eller appar kan kompromissa med din telefon eller surfplatta.
Varför Stagefright Flaw är farligt - det är inte bara MMS
Vissa kommentatorer har kallat denna attack "Stagefright", men det är faktiskt en attack på en komponent i Android som heter Stagefright. Det här är en multimedia-spelare komponent i Android. Det har en sårbarhet som kan utnyttjas - mest farligt via ett MMS, vilket är ett textmeddelande med inbyggda multimediekomponenter.
Många Android-telefonproducenter har oklokat valt att ge Stagefright-systembehörigheter, vilket är ett steg under root-åtkomst. Utnyttjande av Stagefright tillåter en angripare att köra löpande kod med antingen "media" eller "system" tillstånd, beroende på hur enheten är konfigurerad. Systembehörigheter skulle ge attackeren i princip fullständig åtkomst till enheten. Zimperium, organisationen som upptäckte och rapporterade problemet, erbjuder mer information.
Typiska Android-meddelanden för textmeddelanden hämtar automatiskt inkommande MMS-meddelanden. Det innebär att du kan äventyras av att någon skickar ett meddelande via telefonnätverket. Med din telefon komprometterad kunde en mask som använder det här säkerhetsproblemet läsa dina kontakter och skicka skadliga MMS-meddelanden till dina kontakter och sprida sig som ett brandbrand som Melissa-viruset återvände 1999 med Outlook och e-postkontakter.
Initiala rapporter fokuserade på MMS eftersom det var den mest potentiellt farliga vektorn Stagefright kunde dra nytta av. Men det är inte bara MMS.Som Trend Micro påpekade är denna sårbarhet i komponenten "mediaserver" och en skadlig MP4-fil inbäddad på en webbsida kan utnyttja den - ja, bara genom att navigera till en webbsida i din webbläsare. En MP4-fil inbäddad i en app som vill utnyttja enheten kan göra detsamma.
Är din Smartphone eller Tablet Sårbar?
Din Android-enhet är troligen sårbar. Nittiofem procent av Android-enheten i naturen är sårbar för Stagefright.
För att kontrollera att du installerar Stagefright Detector App från Google Play. Denna app tillverkades av Zimperium, som upptäckte och rapporterade Stagefright sårbarheten. Det kommer att kontrollera din enhet och berätta om Stagefright har blivit patched på din Android-telefon eller inte.
Så här förhindrar du angreppsfallsattacker om du är sårbar
Såvitt vi vet kommer Android-antivirusapparna inte att rädda dig från Stagefright-attacker. De behöver inte nödvändigtvis tillräckligt med systembehörigheter för att fånga MMS-meddelanden och störa systemkomponenterna. Google kan inte uppdatera komponenten Google Play Services i Android för att åtgärda det här felet, en lapploppslösning som Google ofta använder när säkerhetshål dyker upp.
För att verkligen hindra dig från att äventyras, måste du förhindra att din meddelandeprogram kan laddas ner och starta MMS-meddelanden. I allmänhet innebär detta att inaktivera inställningen "MMS autohämtning" i dess inställningar. När du får ett MMS-meddelande laddas det inte automatiskt - du måste ladda ner det genom att peka på en platshållare eller något liknande. Du kommer inte vara i fara om du inte väljer att ladda ner MMS.
Du borde inte göra detta. Om MMS är från någon du inte vet, ignorera det definitivt. Om MMS är från en vän skulle det vara möjligt att deras telefon har äventyras om en mask börjar börja. Det är säkert att aldrig hämta MMS-meddelanden om telefonen är sårbar.
För att inaktivera automatisk automatisk hämtning av MMS, följ de lämpliga stegen för din meddelandeprogram.
- Meddelanden ( inbyggd i Android): Öppna Meddelanden, tryck på menyknappen och tryck på Inställningar. Bläddra ner till "Multimedia( MMS) meddelanden" och avmarkera "Automatisk hämtning".
- Messenger ( av Google): Öppna Messenger, tryck på menyn, tryck på Inställningar, tryck på Avancerat och inaktivera "Auto retrieve."
- Hangouts( av Google): Öppna Hangouts, tryck på menyn och navigera till Inställningar & gt;SMS.Avmarkera "Auto hämta SMS" under Avancerat.(Om du inte ser SMS-alternativ här, använder din telefon inte Hangouts för SMS. Avaktivera inställningen i SMS-appen du använder istället.)
- Meddelanden ( av Samsung): Öppna meddelanden och navigera till Mer & gt;Inställningar & gt;Fler inställningar. Tryck på Multimedia-meddelanden och inaktivera alternativet "Auto hämta".Den här inställningen kan vara annorlunda på olika Samsung-enheter, som använder olika versioner av appen Meddelanden.
Det är omöjligt att bygga en komplett lista här.Öppna bara den app du använder för att skicka sms-meddelanden( textmeddelanden) och leta efter ett alternativ som inaktiverar "automatisk hämtning" eller "automatisk hämtning" av MMS-meddelanden.
Varning : Om du väljer att ladda ner ett MMS, är du fortfarande sårbar. Och eftersom Säkerhetsproblemet inte bara är ett MMS-meddelande, skyddar det dig inte helt från alla typer av attacker.
När är din telefon att få en patch?
I stället för att försöka arbeta runt buggan skulle det vara bättre om din telefon bara fått en uppdatering som fixade den. Tyvärr är Android-uppdateringssituationen för närvarande en mardröm. Om du har en ny flaggskepps telefon kan du förmodligen förvänta dig en uppgradering vid någon tidpunkt - förhoppningsvis. Om du har en äldre telefon, i synnerhet en nedre telefon, finns det en bra chans att du aldrig får någon uppdatering.
- Nexus-enheter : Google har nu släppt uppdateringar för Nexus 4, Nexus 5, Nexus 6, Nexus 7( 2013), Nexus 9 och Nexus 10. Den ursprungliga Nexus 7( 2012) är uppenbarligen inte längre stödd och kommer inte attpatchas
- Samsung : Sprint har börjat skjuta ut uppdateringar till Galaxy S5, S6, S6 Edge och Note Edge. Det är oklart när andra operatörer driver ut dessa uppdateringar.
Google berättade också för Ars Technica att "de mest populära Android-enheterna" skulle få uppdateringen i augusti, inklusive:
- Samsung : Galaxy S3, S4 och Note 4, förutom telefonerna ovan.
- HTC : One M7, One M8 och One M9.
- LG : G2, G3 och G4.
- Sony : Xperia Z2, Z3, Z4 och Z3 Compact.
- Android One -enheter som stöds av Google
Motorola har också meddelat att det kommer att klämma fast sina telefoner med uppdateringar som börjar i augusti, inklusive Moto X( 1: a och 2: a generationen), Moto X Pro, Moto Maxx / Turbo, Moto G2: a och 3: e generationen), Moto G med 4G LTE( 1: a och 2: e generationen), Moto E( 1: a och 2: e generationen), Moto E med 4G LTE( andra generationen), DROID Turbo och DROID Ultra /Mini/ Maxx.
Google Nexus, Samsung och LG har alla åtagit sig att uppdatera sina telefoner med säkerhetsuppdateringar en gång per månad. Men detta löfte gäller egentligen bara flaggskeppstelefoner och skulle kräva att operatörer samarbetar. Det är oklart hur bra det skulle fungera. Bärare kan potentiellt stå i vägen för dessa uppdateringar, och detta lämnar fortfarande ett stort antal - tusentals olika modeller - av telefoner utan användning utan uppdatering.
Eller installera bara CyanogenMod
CyanogenMod är en tredje part anpassad ROM av Android som ofta används av entusiaster. Det ger en aktuell version av Android till enheter som tillverkare har slutat stödja. Det här är inte riktigt den perfekta lösningen för den genomsnittliga personen eftersom det krävs att låsa upp din telefons startladdare. Men om din telefon stöds kan du använda det här tricket för att få en aktuell version av Android med aktuella säkerhetsuppdateringar. Det är inte en dålig idé att installera CyanogenMod om telefonen inte längre stöds av tillverkaren.
CyanogenMod har fixat sårbarheten Stagefright i de nattliga versionerna, och fixen ska göra den till den stabila versionen snart via en OTA-uppdatering.
Android har ett problem: De flesta enheter får inte säkerhetsuppdateringar
Detta är bara en av de många säkerhetshålen som gamla Android-enheter bygger upp, tyvärr. Det är bara en särskilt dålig som får mer uppmärksamhet. Majoriteten av Android-enheter - alla enheter som kör Android 4.3 och äldre - har exempelvis en sårbar webbläsarkomponent. Detta kommer aldrig att patchas om inte enheterna uppgraderar till en nyare version av Android. Du kan skydda dig mot det genom att köra Chrome eller Firefox, men den sårbara webbläsaren kommer alltid att finnas på de här enheterna tills de byts ut. Tillverkare är inte intresserade av att hålla dem uppdaterade och underhållna, varför så många människor har vänt sig till CyanogenMod.
Google, Android-enhetstillverkare och mobiloperatörer måste få sina handlingar i ordning, eftersom den nuvarande metoden att uppdatera - eller snarare inte uppdaterar - Android-enheter leder till ett Android-ekosystem med enheter som bygger upp hål över tiden. Det är därför iPhone är säkrare än Android-telefoner - iPhone får faktiskt säkerhetsuppdateringar. Apple har åtagit sig att uppdatera iPhones längre än Google( endast Nexus-telefoner), Samsung och LG kommer att uppgradera sina telefoner också.
Du har nog hört att det är farligt att använda Windows XP eftersom det inte längre uppdateras. XP fortsätter att bygga upp säkerhetshål över tid och bli mer och mer sårbar. Tja, med de flesta Android-telefoner är det samma sätt - de mottar inte heller säkerhetsuppdateringar.
Några utnyttjande minskningar kan hjälpa till att förhindra att en Stagefright-mask tar över miljoner av Android-telefoner. Google hävdar att ASLR och andra skydd på senare versioner av Android hjälper till att förhindra att Stagefright attackeras, och det verkar vara delvis sant.
Vissa mobila bärare verkar också blockera potentiellt skadligt MMS-meddelande i slutet, vilket hindrar att de någonsin når sårbara telefoner. Detta skulle hjälpa till att förhindra att en mask sprids via MMS, åtminstone på bärare som vidtar åtgärder.
Bildkrediter: Matteo Doni på Flickr