Lesley Fowler
0 
4489
131
Le monde de la sécurité est préoccupé par une nouvelle vulnérabilité Android, qui rend votre téléphone Android extrêmement vulnérable. Le problème se présente sous la forme de six bogues dans un module Android inoffensif appelé StageFright, utilisé pour la lecture multimédia..
Les bogues de StageFright permettent à un MMS malveillant, envoyé par un pirate informatique, d’exécuter du code malveillant dans le module StageFright. À partir de là, le code dispose d’un certain nombre d’options permettant de prendre le contrôle de l’appareil. À l'heure actuelle, quelque 950 millions d'appareils sont vulnérables à cet exploit..
C'est tout simplement la pire vulnérabilité Android de l'histoire.
Prise de contrôle silencieuse
Les utilisateurs d'Android sont déjà de plus en plus mécontents de la violation, et pour cause. Une analyse rapide de Twitter montre que de nombreux utilisateurs furieux apparaissent à mesure que les nouvelles pénètrent sur le Web..
D'après ce que j'ai entendu, même les appareils Nexus n'ont pas reçu de correctif pour #Stagefright. A un téléphone? http://t.co/bnNRW75TrD
- Thomas Brewster (@iblametom) 27 juillet 2015
Une partie de ce qui rend cette attaque si effrayante est le fait que peu d'utilisateurs peuvent faire pour s'en protéger. Probablement, ils ne sauraient même pas que l'attaque a eu lieu.
Normalement, pour attaquer un appareil Android, vous devez obliger l'utilisateur à installer une application malveillante. Cette attaque est différente: l'attaquant aurait simplement besoin de connaître votre numéro de téléphone et d'envoyer un message multimédia malveillant.
Selon l'application de messagerie que vous utilisez, il est possible que vous ne sachiez même pas que le message est arrivé. Par exemple: si vos messages MMS passent par Google Hangouts d'Andoid Comment utiliser Google Hangouts sur Android? Comment utiliser Google Hangouts sur votre Android Google+ Hangouts est la réponse de Google aux salons de discussion. Vous pouvez passer du temps avec jusqu'à 12 personnes via des discussions vidéo, audio et texte, ainsi que plusieurs applications en option. Hangout est disponible sur votre Android…, le message malveillant serait capable de prendre le contrôle et de se cacher avant même que le système ne prévienne l'utilisateur qu'il était arrivé. Dans d'autres cas, l'exploit peut ne pas entrer en jeu tant que le message n'est pas réellement lu, mais la plupart des utilisateurs l'écrivent simplement sous forme de texte non spam. Identifiez les numéros inconnus et bloquez les messages texte avec Spam avec Truemessenger pour Android. Identifiez les numéros inconnus et bloquez les messages non sollicités avec. Truemessenger pour Android Truemessenger est une nouvelle application fantastique pour envoyer et recevoir des messages texte. Elle peut vous dire qui est un numéro inconnu et bloquer le spam. ou un mauvais numéro.
Une fois dans le système, le code exécuté dans StageFright a automatiquement accès à la caméra, au microphone, aux périphériques Bluetooth et à toutes les données stockées sur la carte SD. C'est déjà assez grave, mais (malheureusement) ce n'est que le début.
Bien qu'Android Lollipop implémente un certain nombre d'améliorations de sécurité, 8 façons de passer à Android Lollipop rend votre téléphone plus sécurisé 8 manières de passer à Android Lollipop rend votre téléphone plus sécurisé Nos smartphones regorgent d'informations confidentielles. Comment pouvons-nous rester en sécurité? Avec Android Lollipop, qui offre une grande puissance dans le domaine de la sécurité, apportant des fonctionnalités qui améliorent la sécurité dans tous les domaines. , la plupart des appareils Android utilisent encore les anciennes versions du système d'exploitation. Guide rapide pour les versions et mises à jour d'Android [Android] Guide rapide pour les versions et les mises à jour d'Android [Android] Si quelqu'un vous dit qu'il utilise Android, il ne dit pas autant que vous le pensez. Contrairement aux principaux systèmes d'exploitation, Android est un système d'exploitation étendu qui couvre de nombreuses versions et plates-formes. Si vous voulez… et êtes vulnérable à quelque chose qui s'appelle un “attaque d'escalade de privilèges.” Normalement, les applications Android sont “sandboxed Qu'est-ce qu'un bac à sable, et pourquoi jouer dans un bac à sable, et pourquoi jouer dans un bac à sable? Les programmes hautement connectifs peuvent faire beaucoup, mais ils sont également une invitation ouverte à la grève des pirates. Pour éviter que les grèves ne réussissent, un développeur devrait repérer et fermer tous les trous… “, leur permettant d'accéder uniquement aux aspects du système d'exploitation pour lesquels une autorisation explicite leur a été accordée. Les attaques d’escalade de privilèges permettent à un code malveillant de “tour” le système d'exploitation Android en lui donnant de plus en plus accès à l'appareil.
Une fois que le MMS malveillant a pris le contrôle de StageFright, il pourrait utiliser ces attaques pour contrôler totalement les appareils Android anciens et non sécurisés. Ceci est un scénario cauchemardesque pour la sécurité des appareils. Les seuls appareils totalement immunisés contre ce problème sont ceux fonctionnant sous des systèmes d'exploitation antérieurs à Android 2.2 (Froyo), qui est la version qui a introduit StageFright en premier lieu..
Réponse lente
La vulnérabilité StageFright avait été découverte en avril par Zimperium zLabs, un groupe de chercheurs en sécurité. Les chercheurs ont signalé le problème à Google. Google a rapidement publié un correctif pour les fabricants. Cependant, très peu de fabricants d'appareils l'ont réellement appliqué à leurs appareils. Le chercheur qui a découvert le virus, Joshua Drake, estime qu'environ 950 millions des quelque 1 milliard d'appareils Android en circulation sont vulnérables à une forme d'attaque..
Yay! @BlackHatEvents a gracieusement accepté ma soumission pour parler de mes recherches sur StageFright de @ Android! https://t.co/9BW4z6Afmg
- Joshua J. Drake (@jduck) le 20 mai 2015
Les appareils de Google, tels que le Nexus 6, ont été partiellement corrigés selon Drake, bien que certaines vulnérabilités demeurent. Dans un e-mail à FORBES sur le sujet, Google a assuré aux utilisateurs que,
“La plupart des appareils Android, y compris les plus récents, utilisent plusieurs technologies conçues pour rendre leur exploitation plus difficile. Les appareils Android incluent également un sandbox d'application conçu pour protéger les données utilisateur et les autres applications de l'appareil.,”
Cependant, ce n'est pas beaucoup de confort. Jusqu’à Android Jellybean Top 12 des astuces Jelly Bean pour une nouvelle expérience Google Tablette Des 12 meilleurs astuces Jelly Bean pour une nouvelle expérience Google Tablette Android Jelly Bean 4.2, initialement livré sur le Nexus 7, offre une nouvelle expérience de tablette supérieure aux précédentes versions d’Android. Cela a même impressionné nos fans résidents d'Apple. Si vous avez un Nexus 7,…, le sandboxing dans Android a été relativement faible, et plusieurs exploits connus peuvent être utilisés pour le contourner. Il est vraiment crucial que les fabricants proposent un correctif approprié à ce problème..
Que pouvez-vous faire?
Malheureusement, les fabricants de matériel informatique peuvent être extrêmement lents à déployer ces types de correctifs de sécurité critiques. Cela vaut certainement la peine de contacter le service d’assistance client du fabricant de votre appareil et de lui demander une estimation du moment où les correctifs seront disponibles. La pression publique aidera probablement à accélérer les choses.
Pour sa part, il compte révéler toute l'étendue de ses conclusions lors de la conférence internationale sur la sécurité organisée par DEFCON au début du mois d'août. Espérons que cette publicité supplémentaire incitera les fabricants d’appareils à publier rapidement les mises à jour, maintenant que l’attaque est bien connue..
Sur une note plus large, c’est un bon exemple de la raison pour laquelle la fragmentation d’Android est un cauchemar de la sécurité..
Encore une fois, c’est un désastre que les mises à jour d'Android soient entre les mains des fabricants de matériel. Devrait nuire à Android sérieusement. #Trac
- Mike ? (@mipesom) 27 juillet 2015
Sur un écosystème verrouillé comme iOS, un correctif pour cela pourrait être expédié en quelques heures. Sur Android, la mise au point de tous les appareils peut prendre des mois, voire des années, en raison de la fragmentation énorme. Je suis intéressé par les solutions proposées par Google dans les années à venir pour commencer à mettre ces mises à jour essentielles à la sécurité à la portée des fabricants d'appareils..
Êtes-vous un utilisateur Android concerné par ce problème?? Préoccupé par votre vie privée? Faites-nous savoir vos pensées dans les commentaires!
Crédit image: clavier rétro-éclairé de Wikimedia