Stagefright-Sicherheitsproblem: Was kann ein normaler Benutzer tun, um das Problem ohne Patch zu beheben?

36

Es scheint eine riesige Sicherheitslücke mit Android zu geben, die anscheinend alle Handys betrifft. PC World schrieb:

Die überwiegende Mehrheit der Android-Telefone kann gehackt werden, indem ihnen eine speziell gestaltete Multimedia-Nachricht (MMS) gesendet wird, wie ein Sicherheitsforscher [Joshua Drake] herausgefunden hat.

...

Drake hat mehrere Sicherheitslücken in einer zentralen Android-Komponente namens Stagefright gefunden, die zum Verarbeiten, Abspielen und Aufzeichnen von Multimediadateien verwendet wird. Einige der Fehler ermöglichen die Codeausführung per Fernzugriff und können ausgelöst werden, wenn eine MMS-Nachricht empfangen, eine speziell gestaltete Videodatei über den Browser heruntergeladen oder eine Webseite mit eingebettetem Multimedia-Inhalt geöffnet wird.

...

Der MMS-Angriffsvektor ist der gruseligste von allen, da keine Interaktion durch den Benutzer erforderlich ist. Das Telefon muss nur eine schädliche Nachricht erhalten.

Zum Beispiel könnte der Angreifer die böswillige MMS senden, wenn das Opfer schläft und der Klingelton des Telefons zum Schweigen gebracht wird, sagte Drake. Nach dem Ausnutzen kann die Nachricht gelöscht werden, so dass das Opfer nie erfahren wird, dass sein Telefon gehackt wurde, sagte er.

Was kann ein normaler Benutzer tun, um das Problem zu beheben? Google Hangouts deaktivieren?

mattm
quelle
Meine beste Vermutung wäre: Deaktivieren / Entfernen des MMS-APN. MMS werden über eine normale Datenverbindung, jedoch mit einem speziellen APN empfangen. Wenn Sie diese deaktivieren / entfernen, können Sie solche MMS nicht mehr empfangen. (Randnotiz: Ich denke, niemand verwendet mehr MMS, so dass Sie den APN sicher deaktivieren / entfernen können)
GiantTree
1
Wie wäre es, wenn Sie unbekannte Nummern auf die schwarze Liste setzen und als Benutzer von @GiantTree vorschlagen, die MMS zu deaktivieren? Da Stagefright Sie mobil angreift, sobald Sie die MMS auf Ihrem Telefon erhalten, entweder in Ihrer Messaging-App oder in der Hangouts-App, die Sie als Standard-App konfiguriert haben.
Glücklicher
2
@Lucky Blacklisting würde den Umfang verringern, aber es ist kein sicherer Ansatz, da Sie immer noch völlig anfällig für all die Telefonnummern sind, denen Sie vertrauen, und Sie können sich nicht sicher sein, wer Ihnen zum Spaß einen Streich spielen würde anderer Grund. Auch wenn das Deaktivieren von MMS eine gute Option wäre, werden hier am Ende einige (seltene) Fragen zu MMS gestellt. Daher fehlt uns immer noch ein guter Ansatz für die Verwendung von MMS, und wir bleiben dennoch sicher.
Firelord
1
Für diejenigen Benutzer, die bereit sind, MMS als Problemumgehung aufzugeben (z. B. ich), halte ich es immer noch für nützlich, die Schritte zum Deaktivieren anzugeben.
Fabio Beltramini
1
Lesen Sie diesen Artikel auf THN, um zu wissen, dass die Zerstörung des APN oder das Sichern Ihres Textbotschafters das Problem nicht mindern würde.
Feuerfürst

Antworten:

20

Hier geht es nicht nur um MMS oder Surfen im Internet, da Stagefright die Bibliothek ist, mit der Telefone Multimedianachrichten entpacken können: siehe Medien und diesen Artikel über Fortune.

Es geht also um jede Anwendung (einschließlich Ihres Webbrowsers), die mit Multimedia (Videoclips und Audioaufzeichnungen) arbeitet. MMS ist nur eine einfache Möglichkeit, es auszunutzen, da Sie Ihr Telefon vor dem Herunterladen nicht danach fragt.

Aus diesem Grund müssen Sie auch an alle anderen Anwendungen denken, die mit Multimedia arbeiten, und niemals Multimedia-Anhänge öffnen, bevor das Update nicht auf Ihrem Telefon installiert ist.

Für den Webbrowser können Sie zu Firefox 38 oder höher wechseln und Webseiten mit Video- und / oder Audioinhalten öffnen.

Zusammenfassen:

  • Deaktivieren Sie das automatische Abrufen von MMS in Ihrer Messaging-App (was auch immer es ist) ( Anleitung mit Bildern )
  • Wechseln Sie zu Firefox 38 oder neuer (finden Sie es in Ihrem Market / App Store)
  • Wechseln Sie zu einem Dateisystem-Manager, der Video-Miniaturansichten verbirgt. Dies ist die Standardeinstellung für Total Commander
  • Wechseln Sie zu einem Videoplayer, der immun ist, z. B. der Videoplayer MX-Player (stellen Sie sicher, dass die Einstellung "HW +" für alle Videoformate aktiviert ist ), auf die durch Hulkingtickets hingewiesen wird
  • Öffnen Sie keine Multimediadateien und zeichnen Sie keine Video-Thumbnails in anderen Anwendungen und blockieren Sie nach Möglichkeit das automatische Öffnen / Herunterladen in allen Apps. Das ist sehr wichtig . Wenn Ihr Telefon nicht gepatcht ist und Sie eine beliebige App mit Multimedia-Inhalten verwenden und in dieser App keine Option zum Blockieren des automatischen Öffnens von Multimedia-Inhalten besteht (Beispiel für einen Browser: Wenn Sie eine zufällige Webseite öffnen, sollte Ihr Browser Videos vorladen, sofern diese vorhanden sind sind auf dieser Webseite), beenden Sie die Verwendung dieser App und blockieren Sie den Internetzugang für diese App (falls nicht - löschen Sie die App). Wenn Ihnen diese App wichtig ist und Sie in dieser App weder die Firmware des Telefons aktualisieren noch Multimedia-Inhalte blockieren können, beenden Sie einfach die Verwendung Ihres Telefons und kaufen Sie eine andere , nicht anfällige App .

    Ja, dies bedeutet, dass Sie im schlimmsten Fall das Telefon wechseln müssen. Stagefright ist eine sehr schwerwiegende Sicherheitsanfälligkeit, die ~ 1 Milliarde Geräte betrifft. Sie können daher leicht Opfer eines automatisierten Angriffs werden, der nicht direkt gegen Sie gerichtet ist, sondern sich an alle 1 Milliarde Benutzer richtet.

  • Installiere Updates, wenn du Cyanogenmod 11 oder 12 hast (behoben am 23.07.2015, siehe Commits auf Github )

    BEARBEITEN: Die Korrekturen vom 23.07.2015 waren unvollständig. Möglicherweise müssen Sie sie nach der Korrektur vom 13.08.2015 erneut aktualisieren

    EDIT 4: Fixes am 13.08.2015 waren wieder unvollständig, nach Fixes von Google im Oktober 2015 müssen Sie noch einmal updaten (sog. Stagefright 2.0). Wenn Sie über Adroid 5.x oder 6 verfügen, müssen Sie möglicherweise nach diesen nächsten Korrekturen von Google im November 2015 erneut ein Update durchführen , da es ähnlich gefährliche Sicherheitsanfälligkeiten gibt (CVE-2015-6608 und CVE-2015-6609), die wahrscheinlich nicht vorliegen Stagefright genannt mehr. Bitte beachten Sie, dass der Zeitpunkt der tatsächlichen Reparatur durch Ihren Hersteller später oder zumindest anders liegen kann. ZB wurde CM11 am 09.11.2015 aktualisiert , während CM12.1 am 29.09.2015 aktualisiert wurde .

    EDIT 5: 2 weitere Stagefright-Schwachstellen werden von Google am 01.02.2016 gemeldet, betreffen jedoch "nur" Adroid 4.4.4 - 6.0.1

  • Warten Sie auf ein Update Ihres Herstellers

    EDIT2: Ähnlich wie bei Cyanogenmod könnte ein Update Ihres Herstellers nicht ausreichen, da am 12.08.2015 ein Problem mit dem anfänglichen Integer-Überlauf-Fix gemeldet wurde: Der ursprüngliche Integer-Überlauf-Fix ist ineffektiv . Es wird daher empfohlen, auch nach dem Update mit der App von Zimperium (Finder der Stagefright-Ausgabe) zu überprüfen, ob Ihr Telefon immer noch anfällig ist: Zimperium Stagefright Detector App

  • Wenn Sie bereits über root verfügen, versuchen Sie es mit dem von GoOrDie angebotenen Fix. Siehe auch diese Anleitung.

    BEARBEITEN 3. Ich habe versucht, dieses Update auf Samsung S4 Mini, und es hat nicht funktioniert. Überlegen Sie es sich also zweimal, bevor Sie Ihr Telefon rooten.

Andrey Sapegin
quelle
1
Warum ist FF sicherer? Gefragt: android.stackexchange.com/questions/120914/…
Clay Nichols
1
Gute Antwort. Vielen Dank. Ein weiterer Zusatz: Der MX-Player des Videoplayers verfügt über eine Einstellung, die die Verwendung der anfälligen Teile der Stagefright-Bibliothek mit Hardwarebeschleunigung deaktiviert oder Stagefright überhaupt nicht in der Softwarebeschleunigung verwendet. Forum.xda-developers.com/apps/mx- player /…
hulkingtickets
9

Um diesen Angriff abzuschwächen, habe ich MMS deaktiviert, da ich sie sowieso nicht verwende. Das können Sie im Menü Einstellungen tun. Wählen Sie Mobilfunknetze> Zugangspunkte, wählen Sie Ihren Zugangspunkt und entfernen Sie "mms" vom APN-Typ. Ich habe auch MMSC gelöscht.

(Klicken Sie auf das Bild, um es zu vergrößern. Bewegen Sie den Mauszeiger über das Bild, um die Anleitung zu lesen.)

Reihenfolge der Anweisungen: Folgen Sie den Bildern in jeder Zeile von links nach rechts

Beachten Sie, dass Android Gruppen-SMS in MMS konvertiert. Sie können dies auch deaktivieren. Rufen Sie dazu die Messaging-App auf, öffnen Sie das Menü Einstellungen und deaktivieren Sie Group Messaging und Auto-Retrieve.

Luca Invernizzi
quelle
1
Befasst sich Ihre Lösung mit dem hier angesprochenen Problem ?
Firelord
Ich habe keine SIM-Karte bei diesem deutschen Netzbetreiber und kann nicht prüfen, ob diese funktioniert oder nicht. Ich habe bestätigt, dass ich mit T-mobile in den USA keine MMS erhalte. Ich denke, dass das Deaktivieren des automatischen Abrufs gut genug sein sollte (auch mit dem hilfreichen deutschen Carrier), aber bis die Details des Angriffs veröffentlicht sind, ist es schwer zu sagen.
Luca Invernizzi
1
Ich habe die Antwort überarbeitet, da die Bilder das Wesentliche sind und es mir schwerfiel, zu einer anderen Site zu gelangen und riesige Bilder nach unten zu scrollen. Ganz zu schweigen davon, dass wir weniger auf externe Ressourcen angewiesen sind (Ausnahme: Imgur). Hoffe es macht dir nichts aus. :)
Firelord
Sicher! Und es scheint, dass man den APN in Android 4.2.1 nicht (zumindest nicht) bearbeiten kann, aber einen neuen erstellen kann. Das Kopieren des Original-APN mit Ihren Änderungsvorschlägen wäre also ein schmerzliches Unterfangen für die verschiedenen Organe.
Firelord
1
Das Kontrollkästchen "Gruppenmitteilung" sieht so aus, als würde es das Senden von MMS und nicht das Empfangen von MMS steuern . Das sollte kein Risiko sein. Das Deaktivieren des automatischen Abrufs scheint jedoch zu verhindern, dass das Telefon den Inhalt einer schädlichen MMS anzeigen kann. Welchen zusätzlichen Schutz bietet die APN-Änderung?
Wyzard
4

Die neueste Version von Hangouts behebt dieses Problem. Offenbar werden zusätzliche Überprüfungen durchgeführt, bevor die Medien an den Systemdienst weitergeleitet werden. Es behebt jedoch nicht das zugrunde liegende Problem im System.

Sie können auch deaktivieren MMS automatisch abgerufen werden in Hangout über seine SettingsSMS→ deaktivieren Auto retrieve MMSoder in Messenger über seine SettingsAdvanced→ disable Auto-retrieveunter MMS. Diese Site enthält detaillierte Schritte, wenn Sie sie benötigen.

Matthew Read
quelle
2
Matthew, manchmal ist eine Quelle (könnte ein ChangeLog sein) wirklich hilfreich, um die Behauptung zu glauben.
Firelord
@Firelord Leider steht im Hangouts-Changelog nur "Verschiedene Fehlerbehebungen". Ich kann auch keine offizielle Erklärung finden. Sie können dies wirklich nur durch Testen überprüfen.
Matthew Read
3

Dieses Problem betrifft auch das Surfen im Internet. Deaktivieren Sie media.stagefrightggf. zugehörige Eigenschaften in der build.propKonfigurationsdatei.

Mounten Sie die Root-Partition als rwund bearbeiten Sie sie build.prop. Stellen Sie media.stagefright.enable-###auffalse

Hinweis: Dies erfordert Root-Zugriff .

GoOrDie
quelle
Das Gerät muss gerootet sein. Hängen Sie die Root-Partition als "edit build.prop" -Einstellung ein, um die media-stagefright-Eigenschaften auf "false" zu setzen. Dies ist keine bestätigte Minderung, aber ich habe es getan.
GoOrDie
Welches Gerät und welche Android-Version verwenden Sie? Ich habe keine solche Einstellung in meinem build.prop.
Firelord
Es ist ein alter 4.1.2
GoOrDie
Das habe ich getan. Niemand wird Ihnen sagen, dass Sie Ihr Telefon dafür rooten sollen ... Warten Sie einfach auf ein Update oder weitere Informationen, wenn Sie können.
GoOrDie
2

Zimperium, das Unternehmen, das die Sicherheitsanfälligkeit gemeldet hat, hat zusätzliche Informationen zu den Sicherheitsanfälligkeiten in Bezug auf Stagefright veröffentlicht. . Im Google Play Store gibt es eine Anwendung, die erkennt, ob die Sicherheitsanfälligkeit auf Ihrem Gerät vorliegt. Anscheinend hat Samsung auch eine App veröffentlicht, die MMS auf Samsung-Geräten deaktiviert, obwohl diese nicht im Play Store verfügbar ist.

mattm
quelle
Das ist ein gutes Update, das Sie gepostet haben.
Firelord
2

Da MMS (Multi-Media-Messaging) eine von mehreren Möglichkeiten ist, wie dieser Exploit ausgeführt werden kann, können Sie dies für MMS-Exploits verhindern. Stagefright allein ist kein Exploit. Stagefright ist eine Multimedia-Bibliothek, die in das Android-Framework integriert ist.

Der Exploit wurde in einem Multimedia-Tool gefunden, das auf Systemebene verborgen ist, sodass fast alle Android-Varianten, bei denen das Tool im Mittelpunkt steht, problemlos angesprochen werden können. Laut der Studie von Zimperium zLabs kann mit einem einzigen Multimedia-Text die Kamera Ihres Geräts geöffnet und mit der Aufnahme von Video oder Audio begonnen werden. Außerdem können Hacker auf alle Ihre Fotos oder Bluetooth zugreifen. Das Beheben von Stagefright würde ein vollständiges Systemupdate erfordern (von dem noch nicht berichtet wurde, dass es von einem OEM veröffentlicht wurde), da der Exploit in ein systemweites Tool eingebettet ist. Glücklicherweise haben die Entwickler von SMS-Apps das Problem bereits selbst in die Hand genommen und vorübergehende Korrekturen veröffentlicht, um zu verhindern, dass Stagefright automatisch auf die Kamera Ihres Geräts zugreift, indem sie verhindern, dass Video-MMS-Nachrichten bei ihrem Eintreffen ausgeführt werden.[Quelle - Android-Schlagzeilen]

Sie könnten Textra SMS oder Chomp SMS aus dem Play Store verwenden, die behaupten, dass es in der Lage ist , diesen Stagefirght-Exploit einzuschränken . Beide Apps, Textra und Chomp SMS, die von Delicious Inc. entwickelt wurden, haben brandneue Updates erhalten, die die Ausführung von Video-MMS-Nachrichten einschränken, sobald sie von Ihrem Gerät empfangen werden.

Aus dem Textra Knowledge Base- Artikel

Der Stagefright-Exploit kann auftreten, wenn eine SMS / MMS-App die MMS-Video-Miniaturansicht erstellt, die in der Konversationsblase oder -benachrichtigung angezeigt wird, oder wenn ein Benutzer die Wiedergabetaste im Video drückt oder in der Galerie speichert.

Wir haben eine Lösung für 'StageFright' in Release 3.1 von Textra herausgebracht.

Sehr wichtig: In anderen SMS / MMS-Apps reicht es NICHT aus , den automatischen Abruf zu deaktivieren , da der Exploit möglicherweise aktiv wird, sobald Sie auf "Herunterladen" tippen. Außerdem würden Sie keine MMS-Bilder oder Gruppennachrichten erhalten. Keine gute Lösung.

Nach Angaben des Entwicklers beider Apps

Das Risiko, dass Ihr Gerät auf diesen neuen Exploit abzielt, wird erheblich verringert, indem die automatische Ausführung von MMS-Nachrichten verweigert wird.

Wie kann ich mit Textra vor Stagefright schützen?

Schalten Sie das Stagefright Protectionunter Ihren Textra App Einstellungen ein.

Screenshot_Textra_Stagefright_protection

Screenshot (Klicken zum Vergrößern)

Folgendes passiert also, wenn Sie den Stagefright-Schutz der App aktivieren und eine Stagefright-Exploit-Nachricht erhalten:

  1. Stagefright-geschützt: Wie Sie unten sehen können, wurde die Nachricht nicht heruntergeladen und die Miniaturansicht wurde nicht aufgelöst. Wenn dieses Video also auf Stagefright abzielt, kann es den Code noch nicht ausführen. Unter der Nachricht befindet sich ein hübsches Etikett mit der Aufschrift „Stagefright Protection“.

Screenshot_1

Screenshot (Klicken zum Vergrößern)

  1. Was passiert, wenn ich auf die Nachricht Stagefright Protected klicke? : Wenn Sie die Wiedergabetaste in der MMS-Nachricht drücken: eine noch größere Box mit einer noch größeren Wiedergabetaste und einem noch größeren „Stagefright“ -Label.

Screenshot_2

Screenshot (Klicken zum Vergrößern)

  1. Möchten Sie immer noch die Medien öffnen und davon betroffen sein? : Wenn Sie ein letztes Mal auf die Wiedergabetaste klicken, wird eine nette Warnmeldung angezeigt, die Sie daran erinnert, dass heruntergeladene Videos möglicherweise einen Exploit namens Stagefright enthalten.

( Hinweis: Es ist kein Exploit bekannt, und wenn es keinen Namen für Stagefright geben würde, ist Stagefright einfach der Name der Multimedia-Bibliothek, die für die Ausnutzung anfällig ist. )

Screenshot_3

Screenshot (Klicken zum Vergrößern)

Durch Drücken der OKAYTaste wird das gewünschte Video angezeigt. Wenn das Video tatsächlich einen Exploit enthält, der Stagefright zum Ziel hat, wird es in der Tat in diesem Moment ausgeführt.

Quelle: Phandroid

Wenn Sie neugierig sind, ob Sie bereits betroffen und Opfer eines Stagefright-Exploits sind, laden Sie diese App Stagefright Detector aus dem PlayStore herunter, der von zLabs (Zimperium Research Labs) veröffentlicht wurde, das das Problem zuerst an Google gemeldet hat.

Aktualisiert: [18-09-2k15]

Motorola hat am 10. August offiziell einen Sicherheitspatch für das Stagefright-Sicherheitsproblem für die Netzbetreiber zum Testen veröffentlicht. Die Veröffentlichung erfolgt auf der Grundlage des Netzbetreiberanbieters. In den Foren wird erwähnt, dass

Sobald ein Patch verfügbar ist, wird auf Ihrem Telefon eine Benachrichtigung angezeigt, mit der Sie das Update herunterladen und installieren können. Wir empfehlen jedem, regelmäßig zu überprüfen, ob er über die neueste Software verfügt, indem Sie Einstellungen> Über das Telefon> Systemaktualisierungen auswählen.

Und wenn Sie Motorola verwenden und den Sicherheitspatch immer noch nicht erhalten, können Sie Folgendes lesen, um das Sicherheitsrisiko eines Angriffs zu vermeiden:

Was kann ich tun, um mich zu schützen, wenn mein Telefon nicht über den Patch verfügt? Laden Sie zunächst nur Multimedia-Inhalte (wie Anhänge oder alles, was dekodiert werden muss, um sie anzuzeigen) von Personen herunter, die Sie kennen und denen Sie vertrauen. Sie können die Fähigkeit Ihres Telefons deaktivieren, MMS automatisch herunterzuladen. Auf diese Weise können Sie nur Downloads von vertrauenswürdigen Quellen auswählen.

  • Messaging: Gehen Sie zu Einstellungen. Deaktivieren Sie "MMS automatisch abrufen".
  • Hangouts (falls für SMS aktiviert; falls ausgegraut, müssen keine Maßnahmen ergriffen werden): Gehen Sie zu Einstellungen> SMS. Deaktivieren Sie das Kontrollkästchen MMS automatisch abrufen.
  • Verizon Message +: Gehen Sie zu Einstellungen> Erweiterte Einstellungen. Deaktivieren Sie die Option Automatisch abrufen. Deaktivieren Sie "Weblink-Vorschau aktivieren".
  • WhatsApp Messenger: Gehen Sie zu Einstellungen> Chat-Einstellungen> Automatischer Download von Medien. Deaktivieren Sie alle automatischen Video-Downloads unter "Bei Verwendung mobiler Daten", "Bei Wi-Fi-Verbindung" und "Beim Roaming".
  • Handcent Nächste SMS: Gehen Sie zu Einstellungen> Nachrichteneinstellungen empfangen. Deaktivieren Sie das automatische Abrufen.

Lesen Sie mehr über:

Wie kann man sich vor Anfälligkeit für Lampenfieber schützen?
Was sind die anderen Angriffsvektoren für Stagefright?

Glücklich
quelle
1
Ja, genau! Wie bereits in der Post erwähnt, handelt es sich bei StageFright um einen Exploit, der nicht nur über MMS ausgelöst werden kann, sondern auch über alles, was das Media Framework des Android verwendet, das diese Sicherheitsanfälligkeit aufweist. Meine Antwort bezieht sich also nur auf den MMS-Nachrichten-Exploit. Es gibt aber auch viele andere Möglichkeiten. Sofern Mobile OEMs dieses Problem nicht ernst nehmen und ein Update für alle Android-Handys veröffentlichen, sind sie wie alle Handys anfällig.
Glücklicher
„Es gibt kein Exploit bekannt, und wenn es seinen Namen waren nicht Stagefright wäre als Stagefright einfach der Name der Multimedia - Bibliothek ist, die ausgebeutet verwundbar ist“: diese jetzt falsch sind auf beiden Konten: PhK verbindet ein Exploit für eine Bug CBS namens Stagefright
User2987828
2

Der AdWare- MX-Player behauptet, Videos ohne Stagefright-bezogene Bugs abzuspielen . Sie müssen alle abgeblendeten und blau markierten Schaltflächen auf diesen Bildern auswählen:

Öffne den MX Player und öffne seine Einstellungen Wählen Sie die Decoder-Einstellungen aktiviere HW + Decoder (nicht die HW) und gib dann die Codecs ein und aktiviere alle codecs

Sie müssen auch die Standardeinstellungen aller Video Player-Apps löschen und dann MX Player als Standard-Player-App auswählen.

Haftungsausschluss: Diese App gibt es in zwei Versionen: eine kostenlos mit Werbung und die andere "Pro" für 6,10 € . Ich bin nicht mit den Autoren verwandt. Ich werde keine Einnahmen aus diesem Beitrag erhalten. Ich bekomme möglicherweise nur eine bestimmte Anzahl von Wiederholungspunkten.

Vielen Dank an hulkingtickets für die Idee genau dieser Antwort.

user2987828
quelle