Αποκαλυπτική έρευνα: Η συντριπτική πλειοψηφία των κινητών με λειτουργικό Android μπορεί να παραβιαστεί μέσω ενός απλού μηνύματος πολυμέσων (MMS).
Πρόσφατη έρευνα της εταιρείας ασφάλειας Zimperium αποκαλύπτει την ύπαρξη μιας εξαιρετικά επικίνδυνης ευπάθειας του Android, η επιτυχής αξιοποίηση της οποίας μπορεί να επιτρέψει την απομακρυσμένη πρόσβαση σε οποιαδήποτε συσκευή τηλεφώνου, εν αγνοία του χρήστη.
Το συγκεκριμένο κενό ασφάλειας επηρεάζει το 95% των συσκευών Android, που τρέχουν στην έκδοση 2.2 ή σε οποιαδήποτε άλλη, μεταγενέστερη, έκδοση του λειτουργικού συστήματος της Google. Η ευπάθεια εντοπίζεται στο Stagefright, ένα media library app που χρησιμοποιείται για την επεξεργασία αρχείων πολυμέσων. Η Zimperium επισημαίνει ότι το framework του συγκεκριμένου εργαλείου περιέχει ενσωματωμένα αρκετά τρωτά σημεία.
Η εκμετάλλευση της ευπάθειας ξεκινά με την αποστολή ενός απλού μηνύματος πολυμέσων (ΜΜS). Μόλις παραδοθεί το κακόβουλο μήνυμα, οι χάκερ είναι σε θέση να εγγράψουν κώδικα στη συσκευή και να υποκλέψουν δεδομένα από τα τμήματα με τα οποία το Stagefright είναι συνδεδεμένο. Αυτό σημαίνει ότι οι επιτιθέμενοι δύναται να αποκτήσουν πρόσβαση σε αρχεία ήχου, πολυμέσων ή/και εικόνων, αποθηκευμένων στην κάρτα SD, να ενεργοποιήσουν απομακρυσμένα το μικρόφωνο του τηλεφώνου κατασκοπεύοντας τους χρήστες, να διαβάζουν μηνύματα ηλεκτρονικού ταχυδρομείου, και ούτω καθεξής.
Σύμφωνα με την έκθεση, η Google έχει ήδη κυκλοφορήσει patches για την επιδιόρθωση αυτού του σημαντικού ζητήματος ευπάθειας, τα οποία και έχει διανείμει σε συνεργαζόμενες εταιρείες που χρησιμοποιούν το λογισμικό της. Ωστόσο οι περισσότεροι κατασκευαστές δεν φαίνεται να έχουν λάβει τα απαραίτητα μέτρα για την επαρκή διασφάλιση των δεδομένων των χρηστών.
Τα ευάλωτα σημεία που έχουν εντοπιστεί στο Stagefright είναι εξαιρετικά επικίνδυνα, δεδομένου ότι η αξιοποίησή τους δεν απαιτεί κάποια αλληλεπίδραση ή ενέργεια από τον χρήστη-στόχο. Ερευνητές της Zimperium εξηγούν ότι σε αντίθεση με τις επιθέσεις spear-phishing όπου το θύμα πρέπει να ανοίξει κάποιο αρχείο PDF ή να ακολουθήσει κάποιο κακόβουλο link, η συγκεκριμένη ευπάθεια μπορεί να ενεργοποιηθεί ακόμη και όταν ο χρήστης δεν χρησιμοποιεί το τηλέφωνό του.
Η Zimperium σχεδιάζει να παρουσιάσει τα παραπάνω ευρήματα στο Black Hat 2015, καθώς και στο συνέδριο hacking Def Con που θα λάβει χώρα τον Αύγουστο.
Η εταιρεία επισημαίνει επίσης ότι σε ορισμένες παλαιότερες συσκευές, συμπεριλαμβανομένων των Samsung S4 και LG Optimus Elite, η επίθεση εκτελείται με ανάκτηση δικαιωμάτων σε επίπεδο συστήματος, με αποτέλεσμα οι hackers να αποκτούν τον ολοκληρωτικό έλεγχο των συσκευών.
