Новый эксплойт безопасности Stagefright подвергает риску миллиард устройств Android

Проблема безопасности Android, известная как Stagefright, вернулась в новой, столь же тревожной форме. Первоначальная проблема Stagefright, которая вызывала беспокойство в течение нескольких месяцев, использовала слабость в обработчике мультимедиа Android, позволяя хакерам выполнять код через видео, встроенные в сообщения MMS. Теперь аналогичная уязвимость была обнаружена для аудиофайлов. Узнайте все, что вам нужно знать о Stagefright, ниже.

Выделить недавние изменения Да Нет

Насколько безопасен Android на самом деле? / © ANDROIDPIT

Новая угроза Stagefright нацелена на телефоны Android через файлы MP3 и MP4. обнаружил. Код скрывается в аудиофайле и активируется, когда пользователи просматривают его или посещают страницу, на которой этот файл встроен. Эта функция предварительного просмотра звука существует в большинстве версий Android, поэтому почти каждое устройство Android подвержено этой уязвимости. Вредоносный код также может быть отправлен на телефон пользователя через общедоступный Wi-Fi.

Пока о зараженных устройствах не сообщалось. Google в настоящее время работает над исправлением и заявляет, что выпустит обновление безопасности в октябре. Вскоре после этого начнется развертывание у индивидуальных операторов.

Чтобы узнать больше об исходной уязвимости Stagefright и о том, как защитить свой телефон от нее, см. Наш предыдущий обзор ниже.

Что такое Stagefright?

Stagefright был назван самой большой проблемой безопасности Android. Это происходит, когда вредоносный код неосознанно запускается медиа в мультимедийных сообщениях (MMS). Stagefright может затронуть миллиард устройств, особенно те, которые работают под управлением Android Jelly Bean или более ранней версии. Это число, если вы недавно посмотрели на процентное соотношение различные версии Android, которые используются в настоящее время, ошеломляет.

Так работает эксплойт Stagefright. / © Зимпериум

Только 18 процентов устройств Android работают под управлением версии Android Lollipop и менее трех процентов используют Android 5.1. Более 40 процентов используют Jelly Bean или более раннюю версию. (KitKat также составляет около 40 процентов пользователей.)

Хорошей новостью является то, что Google пояснил, что с момента выхода Android 4.0 Ice Cream Sandwich технология, известная как рандомизация адресного пространства (ASLR), стала частью Android. ASLR якобы защищает пользователей от метода атаки Stagefright, потому что ОЗУ, которое использует приложение, никогда не бывает прежним.

Но процесс не идеален, и гнусные попытки обойти ASLR, по-видимому, уже предпринимаются. Исследователи уже продемонстрировали, как Stagefright можно запускать через приложения или даже URL-адреса. К счастью, эти возможности требуют, чтобы пользователь вручную извлекал видео, в отличие от MMS, которое извлекается автоматически.

Некоторые приложения, например Hangouts, автоматически обрабатывают MMS-видео, так что будьте осторожны. / © ANDROIDPIT

Как я узнаю, затронуто ли меня Stagefright?

Как узнать, пострадал ли ваш телефон? У вас есть несколько вариантов. Оба следующих приложения сообщат вам, уязвимы ли вы для Stagefright.

Оба приложения сообщат вам, уязвимо ли ваше устройство для Stagefright. / © ANDROIDPIT

Как мне остановить Stagefright?

Плохая новость в том, что конечный пользователь мало что может сделать. Текущее временное решение – зайти в настройки вашего приложения для обмена сообщениями и отключить автозагрузку для MMS (это касается приложения для обмена сообщениями по умолчанию, а также Hangouts).

Вы также можете отключить автоматическую загрузку в WhatsApp. Выберите «Настройки»> «Настройки чата»> «Автозагрузка мультимедиа» и убедитесь, что автоматическая загрузка видео отключена в разделах «При использовании мобильных данных», «При подключении по Wi-Fi» и «При роуминге».

Вообще говоря, избегайте любых подозрительных MMS-сообщений с видео, особенно от людей, которых вы не знаете, и просто надейтесь, что ваш производитель и оператор связи доставят вам патч как можно быстрее.

Отключите автоматическое получение MMS и не открывайте MMS от людей, которых вы не знаете. / © ANDROIDPIT

Как только вы увидите ожидающее обновление на своем устройстве, немедленно установите его и используйте одно из указанных выше приложений, чтобы убедиться, что вы больше не уязвимы. Конечно, приложения предложат вам защиту, если ваше устройство уязвимо, но мы не можем сказать, насколько эффективна эта защита.

Какие телефоны получат патч Stagefright?

Несколько производителей уже объявили, что выпустят патч Stagefright (и несколько сейчас начнут ежемесячные обновления безопасности). Мы перечислили производителей, которые сделали объявление, ниже, а также все устройства, которые были подтверждены для обновления.

Обновление Google Stagefright

Естественно, Google был первым, кто, как сообщается, уже получил обновления для устройств Android One.

Обновление Samsung Stagefright

Samsung также поспешила выпустить заявление о патче Stagefright и ежемесячных обновлениях для его самых популярных устройств. Различные операторы, в том числе Sprint и AT&T, поспешили выпустить заявления и выпустить исправление для устройств, перечисленных ниже.

Несколько других популярных устройств, в том числе Galaxy S4 и Galaxy S3, по-видимому, находятся в списке «дел» для патча, но мы не знаем точно, когда он появится.

Обновление Motorola Stagefright

Motorola присоединилась к хору Stagefright, объявляя огромный список устройств, которые нужно пропатчить.

• Moto X Style (исправлено с момента запуска)
• Moto X Play (исправлено при запуске)
• Moto X (2014) обновление Android
• Moto X (2013) обновление Android
• Moto X Pro
• Обновление Moto Maxx / Turbo Android
• Moto G (2015)
• Moto G (2014) обновление Android
• Moto G (2013) обновление Android
• Moto G 4G LTE (2015 г.)
• Moto G 4G LTE (2014 г.)
• Moto E (2014)
• Moto E (2013) Обновление Android
• Moto E 4G LTE (2015 г.)
• DROID Turbo
• DROID Ультра / Мини / Макс

Обновление LG Stagefright

LG подтвердила Проводной что он будет обновлять несколько устройств и запускать ежемесячные обновления безопасности, хотя официального заявления еще не было. Устройства, которые, по-видимому, получили исправление в конвейерах, включают:

Обновление HTC Stagefright

HTC также распространила патч Stagefright на несколько устройств, но официального заявления о ежемесячных обновлениях безопасности сделано не было.

Обновление Sony Stagefright

Как и HTC и LG, от Sony не поступало никаких официальных заявлений, но, как сообщается, следующие устройства были исправлены для устранения ошибки Stagefright:

На вас влияет Stagefright? Что вы думаете о проблемах безопасности Android?