Parece haber una vulnerabilidad de seguridad gigante con Android que parece afectar básicamente a todos los teléfonos. PC World escribió:
La gran mayoría de los teléfonos Android pueden ser pirateados enviándoles un mensaje multimedia especialmente diseñado (MMS), según descubrió un investigador de seguridad [Joshua Drake].
...
Drake encontró múltiples vulnerabilidades en un componente principal de Android llamado Stagefright que se usa para procesar, reproducir y grabar archivos multimedia. Algunas de las fallas permiten la ejecución remota de código y pueden activarse al recibir un mensaje MMS, descargar un archivo de video especialmente diseñado a través del navegador o abrir una página web con contenido multimedia incorporado.
...
El vector de ataque MMS es el más aterrador de todos porque no requiere ninguna interacción del usuario; el teléfono solo necesita recibir un mensaje malicioso.
Por ejemplo, el atacante podría enviar el MMS malicioso cuando la víctima está durmiendo y el timbre del teléfono está silenciado, dijo Drake. Después de la explotación, el mensaje se puede eliminar, por lo que la víctima nunca sabrá que su teléfono fue pirateado, dijo.
¿Qué puede hacer un usuario habitual para mitigar el problema? ¿Deshabilitar Hangouts de Google?
Respuestas:
No se trata solo de MMS o navegación web, ya que Stagefright es la biblioteca que ayuda a los teléfonos a desempaquetar mensajes multimedia: vea Medios y este artículo sobre Fortune.
Por lo tanto, se trata de cualquier aplicación (incluido su navegador web) que funcione con multimedia (videoclips y registros de audio). MMS es solo una forma más fácil de explotarlo, porque su teléfono no le preguntará antes de descargarlo.
Es por eso que también debe pensar en todas las demás aplicaciones que funcionan con multimedia y nunca abrir ningún archivo adjunto multimedia antes de que la solución no esté instalada en su teléfono.
Para el navegador web, puede cambiar a Firefox 38 o superior , luego puede continuar abriendo páginas web con contenido de video y / o audio.
Resumir:
No abra ningún archivo multimedia ni dibuje miniaturas de video en ninguna otra aplicación y, si es posible, bloquee la apertura / descarga automática de todas las aplicaciones. Esto es muy importante . Si su teléfono no está parcheado y usa CUALQUIER aplicación con contenido multimedia, y no hay ninguna opción para bloquear la apertura automática de multimedia en esta aplicación (ejemplo para el navegador: si abre alguna página web aleatoria, su navegador debe precargar videos, si están en esta página web), luego deje de usar esta aplicación y bloquee el acceso a Internet para esta aplicación (si no puede, elimine la aplicación). Si esta aplicación es importante para usted y no puede actualizar el firmware del teléfono o bloquear multimedia en esta aplicación, simplemente deje de usar su teléfono y compre otro , que no es vulnerable.
Sí, esto significa que, en el peor de los casos, debe cambiar el teléfono. Stagefright es una vulnerabilidad muy grave que afecta a ~ 1 billón de dispositivos, por lo que podría convertirse fácilmente en víctima de un ataque automatizado, que no se hace directamente en su contra, sino que se dirige a los 1 billón de usuarios.
Instale actualizaciones, si tiene Cyanogenmod 11 o 12 (corregido el 23.07.2015, vea commits en github )
EDITAR: las correcciones del 23.07.2015 estaban incompletas, es posible que deba actualizar nuevamente después de la corrección el 13.08.2015
EDIT 4: las correcciones el 13.08.2015 estaban nuevamente incompletas, debe actualizar una vez más después de las correcciones de Google en octubre de 2015 (denominado Stagefright 2.0). Si tiene Adroid 5.xo 6, es posible que deba actualizar nuevamente después de estas próximas correcciones de Google en noviembre de 2015, ya que existen vulnerabilidades igualmente peligrosas (CVE-2015-6608 y CVE-2015-6609), que probablemente no llamado Stagefright más. Tenga en cuenta que el tiempo de reparación real de su fabricante podría ser posterior o al menos diferente. Por ejemplo, CM11 se actualizó el 11.09.2015 , mientras que CM12.1 se actualizó el 29.09.2015 .
EDITAR 5: 2 más vulnerabilidades de Stagefright son reportadas por Google el 01.02.2016, sin embargo, "solo" afectan a Adroid 4.4.4 - 6.0.1
Espere la actualización de su fabricante
EDIT2: Similar a Cyanogenmod, una actualización de su fabricante podría no ser suficiente, debido al problema con la corrección de desbordamiento de enteros inicial, que se informó el 12.08.2015: La corrección de desbordamiento de enteros original no es efectiva . Por lo tanto, incluso después de la actualización, se recomienda verificar si su teléfono sigue siendo vulnerable usando la aplicación de Zimperium (buscador del problema Stagefright): aplicación Zimperium Stagefright Detector
Si ya tiene root, intente la solución ofrecida por GoOrDie. Consulte también esta guía práctica.
EDITAR 3. Probé esta solución en Samsung S4 mini, y no funcionó. Así que piénselo dos veces antes de rootear su teléfono.
fuente
Para mitigar este ataque, he desactivado los MMS, ya que no los uso de todos modos. Puede hacerlo en el menú Configuración. Seleccione Redes celulares> Nombres de puntos de acceso, seleccione su punto de acceso y elimine "mms" del tipo APN. También eliminé MMSC.
(Haga clic en la imagen para ampliarla; desplace la imagen para conocer las instrucciones)
Orden de instrucciones: siga las imágenes de izquierda a derecha en cada fila
Tenga en cuenta que Android convierte los SMS grupales en MMS, por lo que es posible que también desee deshabilitarlos. Para hacerlo, vaya a la aplicación Mensajería, abra el menú Configuración y desactive la Mensajería grupal y la Recuperación automática.
fuente
La versión más reciente de Hangouts mitiga este problema, parece que realiza algunas verificaciones adicionales antes de pasar los medios al servicio del sistema. Sin embargo, no soluciona el problema subyacente en el sistema.
También puede deshabilitar la recuperación automática de MMS en Hangouts con su
Settings
→SMS
→ desmarcarAuto retrieve MMS
o en Messenger con suSettings
→Advanced
→ deshabilitarAuto-retrieve
enMMS
. Este sitio tiene pasos detallados si los necesita.fuente
Este problema también afecta a la navegación web. Intente deshabilitar las
media.stagefright
propiedades relacionadas (si existe) en elbuild.prop
archivo de configuración.Montar partición raíz como
rw
y editarbuild.prop
. Establecermedia.stagefright.enable-###
enfalse
Nota: esto requiere acceso de root .
fuente
build.prop
.Zimperium, la compañía que informó la vulnerabilidad, ha publicado información adicional sobre las vulnerabilidades relacionadas con Stagefright. . En Google Play Store, hay una aplicación que detectará si la vulnerabilidad está presente en su dispositivo. Aparentemente, Samsung también ha publicado una aplicación que deshabilitará MMS en dispositivos Samsung, aunque esto no está en Play Store.
fuente
Como MMS (Multi-Media-Messaging) es una de las múltiples formas en que se puede ejecutar este exploit, puede evitarlo desde los exploits MMS. Stagefright por sí solo no es una hazaña. Stagefright es una biblioteca multimedia integrada en el marco de Android.
Puede usar Textra SMS o Chomp SMS de Play Store, que afirma que es capaz de limitar esta vulnerabilidad de Stagefirght . Ambas aplicaciones Textra y Chomp SMS desarrolladas por Delicious Inc. han recibido nuevas actualizaciones que limitan la forma en que los mensajes MMS de video se ejecutan tan pronto como los recibe su dispositivo.
Del artículo de Textra Knowledge Base ,
Según el desarrollador de ambas aplicaciones,
¿Cómo puedo protegerme de Stagefright con Textra?
Encienda
Stagefright Protection
debajo de la configuración de su aplicación Textra.Captura de pantalla (Haga clic para ampliar la imagen)
Entonces, esto es lo que sucede si activa la Protección Stagefright de la aplicación y si recibe un mensaje de explotación de Stagefright,
Captura de pantalla (Haga clic para ampliar la imagen)
Captura de pantalla (Haga clic para ampliar la imagen)
( Nota: no hay ningún exploit conocido, y si existiera su nombre no sería Stagefright, ya que Stagefright es simplemente el nombre de la biblioteca multimedia que es vulnerable a ser explotada ).
Captura de pantalla (Haga clic para ampliar la imagen)
Presionando el
OKAY
botón, aparecerá el video que iba a ver, y eso es todo. Si dicho video en realidad contuviera un exploit dirigido a Stagefright, entonces, de hecho, se ejecutaría en este momento.Fuente : Phandroid
Si tiene curiosidad acerca de si ya está afectado y es víctima del exploit Stagefright, descargue esta aplicación Detector Stagefright de PlayStore, que fue lanzada por zLabs (laboratorios de investigación de Zimperium), que informó por primera vez el problema a Google.
Actualizado: [18-09-2k15]
Motorola lanzó oficialmente un parche de seguridad para el problema de seguridad de Stagefright el 10 de agosto a los operadores para que lo prueben y se lanza al público en función del proveedor del operador. Se menciona en los foros que,
Y si usa Motorola y aún no obtiene el parche de seguridad, puede leer lo siguiente para evitar el riesgo de seguridad de ser atacado,
Leer más en:
¿Cómo protegerse de la vulnerabilidad de StageFright?
¿Cuáles son los otros vectores de ataque para Stagefright?
fuente
El reproductor MX ad-ware afirma que reproduce videos sin errores relacionados con Stagefright . Debe seleccionar todos los botones en gris y todos los botones marcados en azul que se muestran en estas imágenes:
También deberá borrar los valores predeterminados de todas las aplicaciones del Reproductor de video, luego seleccionar MX Player como la aplicación predeterminada del Reproductor.
Descargo de responsabilidad: esta aplicación viene en dos versiones: una gratuita con anuncios y la otra "Pro" por 6,10 € . No estoy relacionado con sus autores. No obtendré ingresos de esta publicación. Solo puedo obtener una cierta cantidad de puntos de repetición.
Gracias a Hulkingtickets por la idea de esta misma respuesta.
fuente