Android's Stagefright Exploit Was Sie wissen müssen und wie Sie sich schützen können

Android hat eine massive Sicherheitslücke in einer Komponente, die als „Stagefright“ bezeichnet wird. Wenn Sie lediglich eine bösartige MMS-Nachricht erhalten, kann dies zu einer Gefährdung Ihres Telefons führen. Es ist überraschend, dass wir keinen Wurm gesehen haben, der sich von Telefon zu Telefon verbreitet hat, wie in den frühen Tagen von Windows XP - alle Zutaten sind hier.

Es ist eigentlich ein bisschen schlimmer als es klingt. Die Medien haben sich weitgehend auf die MMS-Angriffsmethode konzentriert, aber selbst in Webseiten oder Apps eingebettete MP4-Videos können Ihr Telefon oder Tablet gefährden.

Warum der Stagefright-Fehler gefährlich ist - es ist nicht nur MMS

Einige Kommentatoren haben diesen Angriff als "Stagefright" bezeichnet, tatsächlich handelt es sich jedoch um einen Angriff auf eine Komponente in Android namens Stagefright. Dies ist eine Multimedia-Player-Komponente in Android. Es hat eine Sicherheitsanfälligkeit, die ausgenutzt werden kann - am gefährlichsten über eine MMS, eine Textnachricht mit eingebetteten Multimedia-Komponenten.

Viele Hersteller von Android-Telefonen haben sich unklug entschieden, Stagefright-Systemberechtigungen zu erteilen, was einen Schritt unter dem Root-Zugriff ist. Durch die Nutzung von Stagefright kann ein Angreifer abhängig von der Konfiguration des Geräts Arteirary-Code mit den Berechtigungen "media" oder "system" ausführen. Systemberechtigungen gewähren dem Angreifer grundsätzlich vollständigen Zugriff auf sein Gerät. Zimperium, die Organisation, die das Problem entdeckt und gemeldet hat, bietet weitere Informationen.

Typische Android-SMS-Apps rufen eingehende MMS-Nachrichten automatisch ab. Dies bedeutet, dass Sie nur durch jemanden gefährdet werden könnten, der Ihnen eine Nachricht über das Telefonnetz sendet. Wenn Ihr Telefon gefährdet ist, kann ein Wurm, der diese Sicherheitsanfälligkeit verwendet, Ihre Kontakte lesen und bösartige MMS-Nachrichten an Ihre Kontakte senden, die sich wie ein Lauffeuer ausbreiten, wie es der Melissa-Virus 1999 mit Outlook und E-Mail-Kontakten getan hat.

Die ersten Berichte konzentrierten sich auf MMS, da dies der potenziell gefährlichste Vektor war, den Stagefright nutzen konnte. Es geht aber nicht nur um MMS. Trend Micro wies darauf hin, dass diese Sicherheitsanfälligkeit in der "Mediaserver" -Komponente liegt, und eine in eine Webseite eingebettete schädliche MP4-Datei könnte sie ausnutzen. Ja, indem Sie einfach zu einer Webseite in Ihrem Webbrowser navigieren. Eine in eine App eingebettete MP4-Datei, die Ihr Gerät ausnutzen möchte, könnte dasselbe tun.

Ist Ihr Smartphone oder Tablet anfällig?

Ihr Android-Gerät ist möglicherweise anfällig. Fünfundneunzig Prozent der Android-Geräte in freier Wildbahn sind anfällig für Stagefright.

Um sicherzugehen, installieren Sie die Stagefright Detector App von Google Play. Diese App wurde von Zimperium entwickelt, das die Stagefright-Schwachstelle entdeckt und gemeldet hat. Es wird Ihr Gerät überprüfen und Ihnen mitteilen, ob Stagefright auf Ihrem Android-Telefon gepatcht wurde oder nicht.

So verhindern Sie Stagefright-Angriffe, wenn Sie anfällig sind

Soweit wir wissen, retten Android Antivirus-Apps Sie nicht vor Stagefright-Angriffen. Sie verfügen nicht unbedingt über ausreichende Systemberechtigungen, um MMS-Nachrichten abzufangen und Systemkomponenten zu beeinträchtigen. Google kann auch die Google Play Services-Komponente in Android nicht aktualisieren, um diesen Fehler zu beheben. Eine Patchwork-Lösung, die Google häufig verwendet, wenn Sicherheitslücken auftauchen.

Damit Sie nicht wirklich gefährdet werden, müssen Sie verhindern, dass Ihre bevorzugte Messaging-App MMS-Nachrichten herunterlädt und startet. In der Regel bedeutet dies, dass die Einstellung "MMS Auto Retrieval" in den Einstellungen deaktiviert ist. Wenn Sie eine MMS-Nachricht erhalten, wird sie nicht automatisch heruntergeladen. Sie müssen sie herunterladen, indem Sie auf einen Platzhalter oder etwas Ähnliches tippen. Sie sind nicht gefährdet, es sei denn, Sie möchten die MMS herunterladen.

Du solltest das nicht tun. Wenn die MMS von jemandem stammt, den Sie nicht kennen, ignorieren Sie ihn auf jeden Fall. Wenn die MMS von einem Freund stammt, ist es möglich, dass das Telefon beeinträchtigt wird, wenn ein Wurm startet. Es ist am sichersten, niemals MMS-Nachrichten herunterzuladen, wenn Ihr Telefon anfällig ist.

Um den automatischen Abruf von MMS-Nachrichten zu deaktivieren, führen Sie die entsprechenden Schritte für Ihre Messaging-App aus.

Messaging (in Android integriert): Öffnen Sie Messaging, tippen Sie auf die Menüschaltfläche und anschließend auf Einstellungen. Scrollen Sie nach unten zum Abschnitt „Multimedia-Nachrichten (MMS)“ und deaktivieren Sie die Option „Automatisch abrufen“.
Bote (von Google): Öffnen Sie den Messenger, tippen Sie auf das Menü, tippen Sie auf Einstellungen, tippen Sie auf Erweitert und deaktivieren Sie die Option "Automatisch abrufen".
Hangouts (von Google): Öffnen Sie Hangouts, tippen Sie auf das Menü und navigieren Sie zu Einstellungen> SMS. Deaktivieren Sie unter "Erweitert" die Option "SMS automatisch abrufen". (Wenn Sie hier keine SMS-Optionen sehen, verwendet Ihr Telefon keine Hangouts für SMS. Deaktivieren Sie stattdessen die Einstellung in der von Ihnen verwendeten SMS-App.)
Mitteilungen (von Samsung): Öffnen Sie Nachrichten und navigieren Sie zu Mehr> Einstellungen> Weitere Einstellungen. Tippen Sie auf Multimedia-Mitteilungen und deaktivieren Sie die Option "Automatischer Abruf". Diese Einstellung befindet sich möglicherweise an verschiedenen Stellen auf verschiedenen Samsung-Geräten, die verschiedene Versionen der Nachrichten-App verwenden.

Es ist unmöglich, hier eine vollständige Liste zu erstellen. Öffnen Sie einfach die App, die Sie zum Senden von SMS-Nachrichten (SMS) verwenden, und suchen Sie nach einer Option, mit der das automatische Abrufen oder automatische Herunterladen von MMS-Nachrichten deaktiviert wird.

Warnung: Wenn Sie sich zum Herunterladen einer MMS-Nachricht entscheiden, sind Sie immer noch verwundbar. Da die Stagefright-Schwachstelle nicht nur ein Problem mit der MMS-Nachricht ist, werden Sie nicht vollständig vor Angriffen jeder Art geschützt.

Wann erhält Ihr Telefon einen Patch??

Anstatt zu versuchen, den Fehler zu umgehen, wäre es besser, wenn Ihr Telefon gerade ein Update erhalten hat, durch das der Fehler behoben wurde. Leider ist das Android-Update derzeit ein Alptraum. Wenn Sie kürzlich ein Flaggschiff-Telefon besitzen, können Sie wahrscheinlich mit einem Upgrade rechnen - hoffentlich. Wenn Sie ein älteres Telefon haben, insbesondere ein Telefon der unteren Preisklasse, besteht eine gute Chance, dass Sie niemals ein Update erhalten.

Nexus-Geräte: Google hat jetzt Updates für Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 und Nexus 10 veröffentlicht. Das ursprüngliche Nexus 7 (2012) wird anscheinend nicht mehr unterstützt und nicht gepatcht
Samsung: Sprint hat begonnen, Updates für das Galaxy S5, S6, S6 Edge und Note Edge herauszugeben. Es ist unklar, wann andere Betreiber diese Updates veröffentlichen.

Google erklärte gegenüber Ars Technica auch, dass "die beliebtesten Android-Geräte" das Update im August erhalten würden, darunter:

Samsung: Das Galaxy S3, S4 und Note 4 zusätzlich zu den oben genannten Handys.
HTC: Der One M7, One M8 und One M9.
LG: Die G2, G3 und G4.
Sony: Die Xperia Z2, Z3, Z4 und Z3 Compact.
Android One von Google unterstützte Geräte

Motorola hat außerdem angekündigt, seine Handys ab August mit Updates zu versehen, darunter Moto X (1. und 2. Generation), Moto X Pro, Moto Maxx / Turbo, Moto G (1., 2. und 3. Generation), Moto G mit 4G LTE (1. und 2. Generation), Moto E (1. und 2. Generation), Moto E mit 4G LTE (2. Generation), DROID Turbo und DROID Ultra / Mini / Maxx.

Google Nexus, Samsung und LG haben sich dazu verpflichtet, ihre Handys einmal pro Monat mit Sicherheitsupdates zu aktualisieren. Dieses Versprechen gilt jedoch nur für Flaggschiff-Telefone und würde eine Zusammenarbeit der Netzbetreiber erfordern. Es ist nicht klar, wie gut das funktionieren würde. Netzbetreiber könnten diesen Updates möglicherweise im Wege stehen, und dies lässt immer noch eine große Anzahl - Tausende verschiedener Modelle - von in Gebrauch befindlichen Telefonen ohne das Update zurück.

Oder installieren Sie einfach CyanogenMod

CyanogenMod ist ein benutzerdefiniertes ROM eines Drittanbieters für Android, das häufig von Enthusiasten verwendet wird. Es bringt eine aktuelle Version von Android für Geräte, die Hersteller nicht mehr unterstützen. Dies ist nicht wirklich die ideale Lösung für den Durchschnittsmenschen, da der Bootloader Ihres Handys freigeschaltet werden muss. Wenn Ihr Telefon unterstützt wird, können Sie diesen Trick verwenden, um eine aktuelle Version von Android mit aktuellen Sicherheitsupdates zu erhalten. Es ist keine schlechte Idee, CyanogenMod zu installieren, wenn das Telefon vom Hersteller nicht mehr unterstützt wird.

CyanogenMod hat die Stagefright-Schwachstelle in den nächtlichen Versionen behoben, und der Fix sollte es bald über ein OTA-Update auf die stabile Version bringen.

Android hat ein Problem: Die meisten Geräte erhalten keine Sicherheitsupdates

Dies ist nur eine der vielen Sicherheitslücken, die alte Android-Geräte leider aufgebaut haben. Es ist nur eine besonders schlechte Sache, die mehr Aufmerksamkeit bekommt. Die meisten Android-Geräte - alle Geräte, auf denen Android 4.3 und älter läuft - verfügen beispielsweise über eine anfällige Web-Browser-Komponente. Dies wird niemals gepatcht, es sei denn, die Geräte werden auf eine neuere Android-Version aktualisiert. Sie können sich dagegen schützen, indem Sie Chrome oder Firefox ausführen. Der verwundbare Browser bleibt jedoch für immer auf diesen Geräten, bis er ersetzt wird. Die Hersteller sind nicht daran interessiert, sie auf dem neuesten Stand zu halten und zu warten. Aus diesem Grund haben sich viele Menschen für CyanogenMod entschieden.

Google, Hersteller von Android-Geräten und Mobilfunkbetreiber müssen in die richtige Reihenfolge geraten, da die derzeitige Methode, Android-Geräte zu aktualisieren oder nicht zu aktualisieren, zu einem Android-Ökosystem führt, dessen Geräte im Laufe der Zeit Löcher aufbauen. Deshalb sind iPhones sicherer als Android-Telefone - iPhones erhalten tatsächlich Sicherheitsupdates. Apple hat sich dazu verpflichtet, iPhones länger als Google (nur Nexus-Handys) zu aktualisieren, Samsung und LG wollen auch ein Upgrade ihrer Handys durchführen.

Sie haben wahrscheinlich gehört, dass die Verwendung von Windows XP gefährlich ist, da es nicht mehr aktualisiert wird. XP wird im Laufe der Zeit immer mehr Sicherheitslücken aufbauen und immer anfälliger werden. Die Verwendung der meisten Android-Telefone ist auf dieselbe Weise möglich - sie erhalten auch keine Sicherheitsupdates.

Einige Maßnahmen zur Minderung von Exploits können dazu beitragen, dass ein Stagefright-Wurm keine Millionen von Android-Handys übernimmt. Google argumentiert, dass ASLR und andere Schutzfunktionen in neueren Android-Versionen dazu beitragen, dass Stagefright nicht angegriffen wird. Dies scheint teilweise zutreffend zu sein.

Einige Mobilfunkanbieter blockieren anscheinend auch potenziell schädliche MMS-Nachrichten und verhindern, dass sie anfällige Telefone erreichen. Dies würde dazu beitragen, zu verhindern, dass sich ein Wurm über MMS-Nachrichten verbreitet, zumindest wenn die Spediteure Maßnahmen ergreifen.

Bildnachweis: Matteo Doni auf Flickr