На самом деле это немного хуже, чем кажется. Средства массовой информации в основном сосредоточены на методе MMS-атак, но даже видеоролики MP4, встроенные в веб-страницы или приложения, могут поставить под угрозу ваш телефон или планшет.
Почему Опасность для сцены является опасной - это не просто MMS
Некоторые комментаторы назвали эту атаку «Stagefright», но это на самом деле атака на компонент в Android под названием Stagefright. Это компонент мультимедийного проигрывателя в Android. Уязвимость существует из-за уязвимости, что может быть опасно с помощью MMS, который представляет собой текстовое сообщение со встроенными мультимедийными компонентами.
Многие производители телефонов Android выбрали не так, чтобы предоставить системные разрешения Stagefright, что на один шаг ниже доступа root. Эксплуатация Stagefright позволяет злоумышленнику запускать arbtirary-код с разрешениями «media» или «system», в зависимости от того, как настроено устройство. Системные права позволят злоумышленнику полностью завершить доступ к своему устройству. Zimperium, организация, которая обнаружила и сообщила о проблеме, предлагает более подробную информацию.
Типичные приложения для обмена текстовыми сообщениями Android автоматически получают входящие MMS-сообщения. Это означает, что вы можете быть скомпрометированы только тем, кто отправляет вам сообщение по телефонной сети. Скомпрометировав ваш телефон, червь, использующий эту уязвимость, может читать ваши контакты и отправлять вредоносные MMS-сообщения своим контактам, распространяясь подобно ледяному пожару, как вирус Мелиссы, который появился в 1999 году, используя Outlook и контакты электронной почты.
Первоначальные отчеты были сосредоточены на MMS, потому что это был самый потенциально опасный вектор, который мог бы использовать Stagefright. Но это не просто MMS. Как отмечала Trend Micro, эта уязвимость находится в компоненте «mediaserver», и вредоносный файл MP4, встроенный в веб-страницу, может использовать его - да, просто перейдя на веб-страницу в вашем веб-браузере. Файл MP4, встроенный в приложение, которое хочет использовать ваше устройство, может сделать то же самое.
Уязвим ваш смартфон или планшет?
Возможно, ваше устройство Android уязвимо. Девяносто пять процентов Android-устройств в дикой природе уязвимы для Stagefright.
Чтобы убедиться в этом, установите приложение Stagefright Detector из Google Play. Это приложение было сделано Zimperium, которое обнаружило и сообщило об уязвимости Stagefright. Он проверит ваше устройство и сообщит вам, был ли Stagefright исправлен на вашем телефоне Android или нет.
Как предотвратить атаки на этапе, если вы уязвимы
Насколько нам известно, антивирусные приложения от Android не избавят вас от атак Stagefright. Они не обязательно имеют достаточные системные разрешения для перехвата сообщений MMS и вмешательства в компоненты системы. Google также не может обновить компонент Google Play Services на Android, чтобы исправить эту ошибку, решение для пэчворков, которое Google часто использует, когда появляются дыры в безопасности.
Чтобы действительно не допустить взлома, вам необходимо запретить вашему приложению обмена сообщениями загружать и запускать MMS-сообщения. В общем, это означает отключить настройку «Автообновление MMS» в настройках. Когда вы получаете MMS-сообщение, оно не будет автоматически загружаться - вам придется загрузить его, нажав на заполнитель или что-то подобное. Вы не рискуете, если не захотите загрузить MMS.
Вы не должны этого делать. Если MMS от кого-то, кого вы не знаете, обязательно проигнорируйте его. Если MMS от друга, возможно, их телефон был скомпрометирован, если червь начнет взлетать. Безопаснее никогда не загружать MMS-сообщения, если ваш телефон уязвим.
Чтобы отключить автообновление MMS-сообщений, выполните соответствующие шаги для своего приложения для обмена сообщениями.
- обмен сообщениями (встроенный в Android): Откройте «Сообщения», нажмите кнопку «Меню» и нажмите «Настройки». Прокрутите вниз до раздела «Мультимедиа (MMS)» и снимите флажок «Автоматическое извлечение».
- посыльный (Google): Откройте Messenger, коснитесь меню, нажмите «Настройки», нажмите «Дополнительно» и отключите «Автоматическое извлечение».
- Hangouts (Google): откройте «Hangouts», коснитесь меню и перейдите в «Настройки»> «СМС». Снимите флажок «Автоматическое получение SMS» в разделе «Дополнительно». (Если здесь не отображаются параметры SMS, ваш телефон не использует Hangouts для SMS. Отключите настройку в приложении SMS, которое вы используете.)
- Сообщения (от Samsung): откройте «Сообщения» и выберите «Дополнительно»> «Настройки»> «Дополнительные настройки». Нажмите «Мультимедийные сообщения» и отключите опцию «Автоматическое извлечение». Этот параметр может быть в другом месте на разных устройствах Samsung, которые используют разные версии приложения «Сообщения».
Здесь невозможно построить полный список. Просто откройте приложение, которое вы используете для отправки SMS-сообщений (текстовых сообщений), и найдите вариант, который отключит «автоматическое извлечение» или «автоматическую загрузку» MMS-сообщений.
Предупреждение: Если вы решите загрузить MMS-сообщение, вы по-прежнему уязвимы.И поскольку уязвимость Stagefright - это не просто проблема с сообщением MMS, это не будет полностью защищать вас от всех видов атак.
Когда ваш телефон получает патч?
Вместо того, чтобы пытаться обойти ошибку, было бы лучше, если бы ваш телефон получил обновление, которое исправило его. К сожалению, ситуация с обновлением Android в настоящее время является кошмаром. Если у вас есть последний флагманский телефон, вы, вероятно, можете ожидать обновления в какой-то момент - надеюсь. Если у вас более старый телефон, особенно на нижнем телефоне, есть хороший шанс, что вы никогда не получите обновление.
- Устройства Nexus: Google выпустил обновления для Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 и Nexus 10. Оригинальный Nexus 7 (2012), по-видимому, больше не поддерживается и не будет исправлен
- Samsung: Sprint начал выталкивать обновления в Galaxy S5, S6, S6 Edge и Edge Edge. Неясно, когда другие носители выталкивают эти обновления.
Google также сообщил Ars Technica, что «самые популярные устройства Android» получат обновление в августе, в том числе:
- Samsung: Galaxy S3, S4 и Note 4, в дополнение к телефонам выше.
- HTC: One M7, One M8 и One M9.
- LG: G2, G3 и G4.
- Sony: Xperia Z2, Z3, Z4 и Z3 Compact.
- Android One устройства, поддерживаемые Google
Motorola также объявила, что будет исправлять свои телефоны с обновлениями, начиная с августа, включая Moto X (1-го и 2-го поколений), Moto X Pro, Moto Maxx / Turbo, Moto G (1-го, 2-го и 3-го поколений), Moto G с 4G LTE (1-го и 2-го поколения), Moto E (1-го и 2-го поколений), Moto E с 4G LTE (2-го поколения), DROID Turbo и DROID Ultra / Mini / Maxx.
Google Nexus, Samsung и LG обязались обновлять свои телефоны обновлениями безопасности раз в месяц. Однако это обещание действительно применимо только к флагманским телефонам и потребует от операторов сотрудничества. Неясно, как хорошо это сработает. Перевозчики могут потенциально помешать этим обновлениям, и это все еще оставляет большое количество - тысячи различных моделей - из-за использования телефонов без обновления.
Или просто установите CyanogenMod
CyanogenMod - это сторонний пользовательский ROM Android, который часто используется энтузиастами. Он выводит текущую версию Android на устройства, которые производители перестали поддерживать. Это не идеальное решение для обычного человека, так как оно требует разблокировки загрузчика вашего телефона. Но, если ваш телефон поддерживается, вы можете использовать этот трюк, чтобы получить текущую версию Android с текущими обновлениями для системы безопасности. Неплохая идея установить CyanogenMod, если ваш телефон больше не поддерживается его производителем.
CyanogenMod исправил уязвимость Stagefright в ночных версиях, и исправление должно вскоре перейти к стабильной версии через обновление OTA.
Android имеет проблемы: большинство устройств не получают обновлений безопасности
Это лишь одна из многих проблем в области безопасности, которые, к сожалению, накапливаются в старых устройствах Android. Это особенно плохо, что привлекает больше внимания. Например, большинство устройств Android - все устройства под управлением Android 4.3 и старше - имеют уязвимый компонент веб-браузера. Это никогда не будет исправлено, если устройства не перейдут на новую версию Android. Вы можете защитить себя от него, запустив Chrome или Firefox, но этот уязвимый браузер навсегда останется на этих устройствах до тех пор, пока они не будут заменены. Производители не заинтересованы в их обновлении и сохранении, поэтому многие люди обратились к CyanogenMod.
Компаниям Google, производителям устройств Android и сотовым операторам необходимо привести их в действие, поскольку текущий способ обновления - или, скорее, не обновления - устройства Android приводят к экосистеме Android с устройствами, наращивающими дыры с течением времени. Вот почему iPhone более безопасен, чем телефоны Android - iPhone действительно получает обновления для системы безопасности. Apple взяла на себя обязательства по обновлению iPhone дольше, чем Google (только телефоны Nexus), Samsung и LG тоже хотят обновить свои телефоны.
Вероятно, вы слышали, что использование Windows XP опасно, потому что оно больше не обновляется. XP будет продолжать наращивать дыры в безопасности с течением времени и становиться все более уязвимыми. Ну, использование большинства телефонов Android одинаково - они также не получают обновлений безопасности.
Некоторые смягчения использования могут помочь предотвратить червь Stagefright от захвата миллионов телефонов Android. Google утверждает, что ASLR и другие меры защиты на более поздних версиях Android помогают предотвратить атаку Stagefright, и это кажется частично верным.
Некоторые сотовые операторы также, по-видимому, блокируют потенциально вредоносное MMS-сообщение на своем конце, не позволяя им получать доступ к уязвимым телефонам. Это поможет предотвратить распространение червя через MMS-сообщения, по крайней мере, на операторах, принимающих меры.
