Проблема безпеки Stagefright: що може зробити звичайний користувач, щоб пом'якшити проблему без виправлення?

Схоже, існує велика вразливість безпеки з Android, яка, здається, в основному впливає на всі телефони. PC World написав:

Переважну більшість телефонів Android можна зламати, надсилаючи їм спеціально створене мультимедійне повідомлення (MMS), виявив дослідник безпеки [Джошуа Дрейк].

...

Дрейк виявив кілька вразливих місць в основному компоненті Android під назвою Stagefright, який використовується для обробки, відтворення та запису мультимедійних файлів. Деякі недоліки дозволяють виконувати віддалене виконання коду і можуть бути спровоковані при отриманні MMS-повідомлення, завантаженні спеціально створеного відеофайлу через браузер або відкритті веб-сторінки із вбудованим мультимедійним вмістом.

...

Вектор атаки MMS є найстрашнішим з усіх, оскільки він не потребує взаємодії з користувачем; телефону просто потрібно отримати зловмисне повідомлення.

Наприклад, зловмисник може надсилати шкідливі MMS, коли жертва спить, а дзвінок телефону замовк, сказав Дрейк. Після експлуатації повідомлення може бути видалено, тому жертва ніколи навіть не дізнається, що його телефон зламали, сказав він.

Що може зробити звичайний користувач, щоб пом'якшити проблему? Вимкнути Google Hangouts?

Мова йде не лише про MMS або веб-серфінгу, оскільки Stagefright - це бібліотека, яка допомагає телефонам розпаковувати мультимедійні повідомлення: див. Медіа та цю статтю про Fortune.

Тож йдеться про будь-яку програму (включаючи ваш веб-браузер), яка працює з мультимедіа (відеокліпи та аудіозаписи). MMS - це найпростіший спосіб її використання, оскільки телефон не запитає вас перед завантаженням.

Ось чому вам також потрібно подумати про всі інші додатки, що працюють з мультимедіа, і ніколи не відкривати мультимедійні вкладення, перш ніж виправлення не буде встановлено на вашому телефоні.

Для веб-браузера ви можете перейти на Firefox 38 або новішої версії , а потім можете продовжувати відкривати веб-сторінки з відео та / або аудіовмістом.

Підсумовувати:

• Вимкнення автоматичного відновлення MMS у вашому додатку для обміну повідомленнями (як би там не було) ( посібник із зображеннями )
• Перейдіть на Firefox 38 або новішої версії (знайдіть його у вашому ринку / магазині додатків)
• Перейдіть до менеджера файлових систем, який приховує ескізи відео , що є типовим для команди команди Total
• Переключіться на незахищений відеоплеєр, наприклад, MX-програвач відеопрогравача (переконайтесь, що активується його налаштування "HW +" для всіх форматів відео ), вказаний hulkingtickets

• Не відкривайте мультимедійні файли і не малюйте ескізи відео в будь-яких інших програмах і не блокуйте автоматичне відкриття / завантаження їх у всіх додатках, якщо можливо. Це дуже важливо . Якщо ваш телефон не зафіксовано, ви використовуєте будь-яку програму з мультимедійним вмістом, і немає можливості блокувати автоматичне відкриття мультимедіа в цьому додатку (приклад для браузера: якщо ви відкриєте якусь випадкову веб-сторінку, веб-переглядач повинен попередньо завантажити відео, якщо вони на цій веб-сторінці), а потім припиніть користуватися цим додатком і заблокуйте доступ до Інтернету для цього додатка (якщо ви не можете - видаліть додаток). Якщо ця програма важлива для вас, і ви не можете оновити прошивку телефону або заблокувати мультимедіа в цьому додатку, просто перестаньте використовувати телефон і придбайте інший , який не є вразливим.

  Так, це означає, що в гіршому випадку вам потрібно змінити телефон. Stagefright - це дуже серйозна вразливість, яка впливає на ~ 1 мільярд пристроїв, тому ви можете легко стати жертвою автоматизованої атаки, яка зроблена не безпосередньо проти вас, а спрямована на всіх 1 мільярд користувачів.

• Установіть оновлення, якщо у вас Cyanogenmod 11 або 12 (зафіксовано 23.07.2015, див. Комісії на github )

  EDIT: виправлення від 23.07.2015 були неповними, можливо, вам доведеться знову оновити після виправлення 13.08.2015

  EDIT 4: Виправлення 13.08.2015 знову були неповними, вам потрібно оновити ще один раз після виправлень з Google у жовтні 2015 року (так званий Stagefright 2.0). Якщо у вас є Adroid 5.x або 6, можливо, вам доведеться знову оновити після цих наступних виправлень від Google у листопаді 2015 року, оскільки є подібні небезпечні вразливості (CVE-2015-6608 та CVE-2015-6609), які, ймовірно, не називається вже Stagefright Зауважте, що час фактичного виправлення у вашого виробника може бути пізніше або принаймні іншим. Наприклад, CM11 оновлювався 09.11.2015 , тоді як CM12.1 оновлювався 29.09.2015 .

  EDIT 5: Ще 2 уразливості Stagefright повідомляються Google станом на 01.02.2016, проте вони "впливають" лише на Adroid 4.4.4 - 6.0.1

• Зачекайте оновлення від вашого виробника

  EDIT2: Еквівалент з CyanogenMod, оновлення від Вашого виробника може бути недостатньо, в зв'язку з проблемою з початкової цілочисельним переповненням правкою, що було повідомлено на 12.08.2015: Оригінал целочисленного переповнення лагодження неефективного . Тож навіть після оновлення рекомендується перевірити, чи ваш телефон все ще вразливий, використовуючи додаток від Zimperium (шукач проблеми Stagefright): додаток Zimperium Stagefright Detector

• Якщо у вас вже є корінь, спробуйте виправити запропоновані GoOrDie. Також дивіться цей посібник з інструкцій.

  EDIT 3. Я спробував це виправлення на Samsung S4 mini, і воно не вийшло. Тому подумайте двічі, перш ніж вкоренити телефон.

Щоб пом'якшити цю атаку, я відключив MMS, оскільки я їх не використовую. Це можна зробити в меню "Налаштування". Виберіть Cellular Networks> Імена точок доступу, виберіть точку доступу та видаліть "mms" з типу APN. Я також очистив MMSC.

_{(Клацніть зображення, щоб збільшити; наведіть на нього зображення, щоб знати інструкцію)}

_{Порядок інструкцій: Дотримуйтесь зображень зліва направо в кожному рядку}

Зауважте, що Android перетворює групові SMS-повідомлення в MMS-файли, тому ви, можливо, захочете також відключити його. Для цього перейдіть у додаток Повідомлення, відкрийте меню Налаштування та відключіть групові повідомлення та автоматичне завантаження.

Найновіша версія Hangouts пом'якшує цю проблему. Схоже, вона робить додаткові перевірки перед передачею засобів масової інформації на системну службу. Однак він не виправляє основну проблему в системі.

Ви також можете вимкнути автоматичне завантаження MMS у Hangouts за допомогою його Settings→ SMS→ зняти прапорець Auto retrieve MMSабо в Messenger через його Settings→ Advanced→ відключити Auto-retrieveпід MMS. Цей сайт має детальні кроки, якщо вони вам потрібні.

Ця проблема також стосується веб-серфінгу. Спробуйте відключити media.stagefrightпов’язані властивості (якщо такі є) у build.propфайлі конфігурації.

Згорніть кореневий розділ як rwі редагуйте build.prop. набір media.stagefright.enable-###дляfalse

Примітка: для цього потрібен кореневий доступ .

Zimperium, компанія, яка повідомила про вразливість, опублікувала додаткову інформацію про вразливості, пов'язані зі Stagefright. . У магазині Google Play є програма, яка виявить, чи є вразливість на вашому пристрої. Очевидно, Samsung також опублікував додаток, який відключить MMS на пристроях Samsung, хоча цього немає в Play Store.

Оскільки MMS (Multi-Media-Messaging) є одним із декількох способів цього запуску, ви можете запобігти цьому від подвигів MMS. Сценічний страх сам по собі не є подвигом. Stagefright - це мультимедійна бібліотека, вбудована в систему Android.

Експлуатація була знайдена в мультимедійному інструменті, прихованому на глибокому системному рівні, тому майже всі варіанти Android, які мають інструмент в основі, можна було легко націлити. Згідно з дослідженням Zimperium zLabs, один мультимедійний текст має можливість відкрити камеру вашого пристрою і почати записувати відео чи аудіо, а також надати хакерам доступ до всіх ваших фотографій або Bluetooth. Для виправлення Stagefright потрібно буде повне оновлення системи (про яке досі не повідомлялося про випуск жодного OEM), оскільки експлуатація вбудована в загальносистемний інструмент. На щастя, розробники додатків для SMS вже взяли цю проблему у свої руки та випустили тимчасові виправлення, щоб уникнути Stagefright отримати автоматичний доступ до камери вашого пристрою, зупинивши запуск відео MMS-повідомлень під час їх надходження.[Джерело - заголовки Android]

Ви можете використовувати Textra SMS або Chomp SMS з Play Store, які стверджують, що він здатний обмежити цей підйом Stagefirght . Обидва додатки Textra та Chomp SMS, розроблені компанією Delicious Inc. , отримали абсолютно нові оновлення, які обмежують спосіб роботи MMS-повідомлень відео, як тільки їх отримує ваш пристрій.

З статті бази знань Textra ,

Експлоатація сценічного перегляду може статися, коли будь-який додаток для SMS / MMS створює мініатюрну відео-мініатюру, яку він відображає в міхурі розмови чи сповіщенні, або якщо користувач натискає кнопку відтворення на відео чи зберігає його в Галереї.

Ми вже запропонували рішення для "StageFright" у версії 3.1 Textra.

Дуже важливо: в інших програмах для SMS / MMS вимкнення автоматичного завантаження НЕ достатньо, коли ви натискаєте кнопку "завантажити", потенційно потенціал стає активним. Крім того, ви не отримаєте MMS-зображення або групові повідомлення. Не вдале рішення.

За словами розробника обох додатків,

ризик того, що ваш пристрій буде націлений на цей новий подвиг, значно зменшується, позбавляючи MMS-повідомлень можливості автоматичного запуску.

Як я можу захистити від Stagefright за допомогою Textra?

Увімкніть функцію Stagefright Protectionв розділі Налаштування програми Textra.

_{Знімок екрана (натисніть, щоб збільшити зображення)}

Ось що відбувається, якщо ви активуєте захист програми від Stagefright і якщо ви отримаєте повідомлення про експлуатацію Stagefright,

1. Захищений Stagefright: Як ви бачите нижче, повідомлення не було завантажено, а ескіз не було вирішено, тому, якщо це відео має експлуатуючий націлювання на Stagefright, воно ще не зможе виконати свій код. Повідомлення має приємний ярлик "Stagefright Protection" під ним.

_{Знімок екрана (натисніть, щоб збільшити зображення)}

2. Що станеться, якщо я натисну повідомлення Захищене від Stagefright? : Коли ви натискаєте кнопку Відтворити на MMS-повідомленні: ще більша скринька, ще більша кнопка відтворення та ще більша мітка «Stagefright».

_{Знімок екрана (натисніть, щоб збільшити зображення)}

3. Ви все ще хочете відкрити медіа та зазнати впливу? : Нарешті, останній раз натискання кнопки «Відтворити» виведе приємне попереджувальне повідомлення, яке нагадує вам, що завантажені відео можуть містити подвиг під назвою Stagefright.

( Примітка: не існує відомого подвигу, і якби його ім'я не було б Stagefright, оскільки Stagefright - це просто назва мультимедійної бібліотеки, вразливої ​​до експлуатації ).

_{Знімок екрана (натисніть, щоб збільшити зображення)}

Після натискання OKAYкнопки з'явиться те відео, яке ви збиралися переглянути, і все. Якби згадане відео насправді містило подвиг, націлений на Stagefright, він би насправді був би виконаний у цей момент.

Джерело: Phandroid

Якщо вам цікаво, чи вже ви постраждали і станете жертвою експлуатування Stagefright, тоді завантажте цей додаток Detector Stagefright з PlayStore, який випустив zLabs (дослідницькі лабораторії Zimperium), який першим повідомив про проблему в Google.

Оновлено: [18-09-2k15]

10 серпня Motorola офіційно випустила патч безпеки щодо проблеми безпеки Stagefright для перевірок, і він випущений для громадськості на основі постачальника послуг оператора. На форумах зазначається, що

Як тільки патч буде готовий, ви побачите на своєму телефоні сповіщення про завантаження та встановлення оновлення. Ми рекомендуємо періодично перевіряти наявність у них найновішого програмного забезпечення, натиснувши Налаштування> Про телефон> Оновлення системи.

І якщо ви користуєтеся Motorola і все ще не отримуєте патч безпеки, ви можете прочитати наступне, щоб уникнути ризику безпеки під атакою,

Що я можу зробити, щоб захистити себе, якщо в моєму телефоні немає патча? По-перше, завантажуйте лише мультимедійний вміст (наприклад, вкладення або все, що потрібно розшифрувати, щоб переглянути його) від людей, яких ви знаєте та яким довіряєте. Ви можете відключити можливість вашого телефону автоматично завантажувати MMS. Таким чином ви можете вибрати лише завантаження з надійних джерел.

• Повідомлення: перейдіть до Установки. Зніміть прапорець "Автозавантажити MMS".
• Hangouts (якщо увімкнено для SMS; якщо сірий, не потрібно вживати заходів): перейдіть у Налаштування> SMS. Зніміть прапорець автоматично отримати MMS.
• Verizon Message +: перейдіть у меню Налаштування> Додаткові настройки. Зніміть прапорець Автовилучення. Зніміть прапорець "Увімкнути попередній перегляд веб-посилання".
• Whatsapp Messenger: перейдіть у Налаштування> Установки чату> Автозавантаження медіа. Вимкнути всі автоматичні завантаження відео в розділі "Під час використання мобільних даних", "При підключенні через Wi-Fi" та "Під час роумінгу".
• Наступний SMS: перейдіть до налаштувань> Отримати установки повідомлень. Вимкнути автоматичне завантаження.

Детальніше читайте на:

Як захиститися від вразливої ​​сцени?
Які інші вектори атаки для Stagefright?

Рекламний MX Player стверджує, що відтворює відео без помилок, пов’язаних із сценічним переляком . Потрібно вибрати всі сірі кнопки та всі кнопки, встановлені синім кольором, зображені на цих зображеннях:

Також вам потрібно буде очистити за замовчуванням всі програми для відеоплеєра, а потім вибрати програму MX Player як програму програвача за замовчуванням.

Відмова: Ця програма постачається у двох версіях: одна безкоштовна з рекламою , а інша "Pro" за 6,10 € . Я не пов'язаний з його авторами. Я не отримаю доходу від цієї посади. Я можу отримати лише певну кількість балів повторень.

Завдяки hulkingtickets за ідею саме цієї відповіді.