Explotación de Stagefright en Android Lo que necesita saber y cómo protegerse

Android tiene un error de seguridad masivo en un componente conocido como "Stagefright". El simple hecho de recibir un mensaje MMS malicioso puede hacer que su teléfono se vea comprometido. Es sorprendente que no hayamos visto un gusano propagándose de un teléfono a otro como lo hicieron los gusanos en los primeros días de Windows XP. Todos los ingredientes están aquí..

En realidad es un poco peor de lo que parece. Los medios se han centrado principalmente en el método de ataque MMS, pero incluso los videos MP4 integrados en páginas web o aplicaciones podrían poner en peligro su teléfono o tableta.

¿Por qué la falla de Stagefright es peligrosa? No es solo MMS

Algunos comentaristas han llamado a este ataque "Stagefright", pero en realidad es un ataque a un componente en Android llamado Stagefright. Este es un componente reproductor multimedia en Android. Tiene una vulnerabilidad que puede ser explotada, más peligrosamente a través de un MMS, que es un mensaje de texto con componentes multimedia integrados.

Muchos fabricantes de teléfonos Android han elegido de forma imprudente otorgar permisos al sistema Stagefright, que es un paso por debajo del acceso a la raíz. La explotación de Stagefright permite que un atacante ejecute código arbitrario con los permisos de "medios" o "sistema", según la forma en que esté configurado el dispositivo. Los permisos del sistema le darían al atacante básicamente acceso completo a su dispositivo. Zimperium, la organización que descubrió y reportó el problema, ofrece más detalles..

Las aplicaciones típicas de mensajería de texto de Android recuperan automáticamente los mensajes MMS entrantes. Esto significa que usted podría verse comprometido solo por que alguien le envíe un mensaje a través de la red telefónica. Con su teléfono comprometido, un gusano que usa esta vulnerabilidad podría leer sus contactos y enviar mensajes MMS maliciosos a sus contactos, propagándose como un incendio forestal, como lo hizo el virus Melissa en 1999 con Outlook y contactos de correo electrónico..

Los informes iniciales se centraron en MMS porque ese era el vector más potencialmente peligroso que Stagefright podía aprovechar. Pero no es solo MMS. Como señaló Trend Micro, esta vulnerabilidad se encuentra en el componente "mediaserver" y un archivo MP4 malicioso incrustado en una página web podría explotarlo, sí, simplemente navegando a una página web en su navegador web. Un archivo MP4 incrustado en una aplicación que quiera explotar su dispositivo podría hacer lo mismo.

Es tu teléfono inteligente o tableta vulnerable?

Su dispositivo Android es probablemente vulnerable. El noventa y cinco por ciento de los dispositivos Android en la naturaleza son vulnerables a Stagefright.

Para verificarlo, instale la aplicación Stagefright Detector desde Google Play. Esta aplicación fue creada por Zimperium, que descubrió y reportó la vulnerabilidad Stagefright. Revisará su dispositivo y le dirá si Stagefright ha sido parcheado en su teléfono Android o no.

Cómo prevenir los ataques de Stagefright si eres vulnerable

Por lo que sabemos, las aplicaciones antivirus de Android no lo salvarán de los ataques de Stagefright. No necesariamente tienen suficientes permisos del sistema para interceptar mensajes MMS e interferir con los componentes del sistema. Google tampoco puede actualizar el componente de Google Play Services en Android para corregir este error, una solución de patchwork que Google emplea a menudo cuando aparecen agujeros de seguridad.

Para evitar realmente que se vea comprometido, debe evitar que la aplicación de mensajería de su elección descargue e inicie mensajes MMS. En general, esto significa desactivar la configuración de "recuperación automática de MMS" en su configuración. Cuando reciba un mensaje MMS, no se descargará automáticamente, tendrá que descargarlo tocando un marcador de posición o algo similar. Usted no estará en riesgo a menos que elija descargar el MMS.

No deberías hacer esto. Si el MMS es de alguien que no conoces, ignóralo definitivamente. Si el MMS es de un amigo, es posible que su teléfono se haya visto comprometido si un gusano comienza a despegar. Es más seguro nunca descargar mensajes MMS si su teléfono es vulnerable.

Para deshabilitar la recuperación automática de mensajes MMS, siga los pasos apropiados para su aplicación de mensajería.

Mensajería (integrado en Android): abre Mensajería, toca el botón del menú y toca Configuración. Desplázate hacia abajo hasta la sección "Mensajes multimedia (MMS)" y desmarca "Recuperar automáticamente".
Mensajero (por Google): abre Messenger, toca el menú, toca Configuración, toca Avanzado y deshabilita "Recuperación automática".
Hangouts (por Google): abra Hangouts, toque el menú y vaya a Configuración> SMS. Desmarque "Recuperar SMS automáticamente" en Avanzado. (Si no ve las opciones de SMS aquí, su teléfono no está usando Hangouts para SMS. Desactive la configuración en la aplicación de SMS que usa en su lugar).
Mensajes (por Samsung): abra Mensajes y navegue a Más> Configuraciones> Más configuraciones. Toca los mensajes multimedia y desactiva la opción "Recuperar automáticamente". Esta configuración puede estar en un lugar diferente en diferentes dispositivos Samsung, que usan diferentes versiones de la aplicación de Mensajes.

Es imposible construir una lista completa aquí. Simplemente abra la aplicación que usa para enviar mensajes SMS (mensajes de texto) y busque una opción que deshabilite la "recuperación automática" o la "descarga automática" de mensajes MMS.

Advertencia: Si elige descargar un mensaje MMS, todavía es vulnerable. Y, como la vulnerabilidad de Stagefright no es solo un problema de mensaje MMS, esto no lo protegerá completamente de todo tipo de ataque.

¿Cuándo está su teléfono recibiendo un parche?

En lugar de intentar solucionar el error, sería mejor si su teléfono acaba de recibir una actualización que lo corrigió. Desafortunadamente, la situación de actualización de Android es actualmente una pesadilla. Si tiene un teléfono insignia reciente, es probable que pueda esperar una actualización en algún momento, con suerte. Si tiene un teléfono antiguo, especialmente un teléfono de gama baja, es muy probable que nunca reciba una actualización..

Dispositivos Nexus: Google ahora ha lanzado actualizaciones para Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 y Nexus 10. Aparentemente, el Nexus 7 (2012) original ya no es compatible y no será reparado.
Samsung: Sprint ha comenzado a publicar actualizaciones en el Galaxy S5, S6, S6 Edge y Note Edge. No está claro cuándo otros operadores están publicando estas actualizaciones..

Google también le dijo a Ars Technica que "los dispositivos Android más populares" recibirán la actualización en agosto, que incluye:

Samsung: El Galaxy S3, S4 y Note 4, además de los teléfonos anteriores.
HTC: El One M7, One M8 y One M9.
LG: El G2, G3, y G4.
Sony: El Xperia Z2, Z3, Z4 y Z3 Compact.
Android One dispositivos soportados por Google

Motorola también ha anunciado que estará actualizando sus teléfonos con actualizaciones a partir de agosto, incluidos Moto X (1ª y 2ª generación), Moto X Pro, Moto Maxx / Turbo, Moto G (1ª, 2ª y 3ª generación), Moto G con 4G LTE (1ª y 2ª generación), Moto E (1ª y 2ª generación), Moto E con 4G LTE (2ª generación), DROID Turbo y DROID Ultra / Mini / Maxx.

Google Nexus, Samsung y LG se han comprometido a actualizar sus teléfonos con actualizaciones de seguridad una vez al mes. Sin embargo, esta promesa solo se aplica realmente a los teléfonos emblemáticos y requeriría la cooperación de los operadores. No está claro qué tan bien funcionaría esto. Los operadores podrían potencialmente obstaculizar estas actualizaciones, y esto todavía deja un gran número de miles de modelos diferentes de teléfonos en uso sin la actualización.

O simplemente instale CyanogenMod

CyanogenMod es una ROM personalizada de terceros de Android utilizada a menudo por los entusiastas. Trae una versión actual de Android a dispositivos que los fabricantes han dejado de admitir. Esta no es realmente la solución ideal para la persona promedio, ya que requiere desbloquear el cargador de arranque de su teléfono. Pero, si su teléfono es compatible, puede usar este truco para obtener una versión actual de Android con las actualizaciones de seguridad actuales. No es una mala idea instalar CyanogenMod si su teléfono ya no es compatible con su fabricante.

CyanogenMod ha corregido la vulnerabilidad de Stagefright en las versiones nocturnas, y la solución debería llegar pronto a la versión estable a través de una actualización OTA.

Android tiene un problema: la mayoría de los dispositivos no obtienen actualizaciones de seguridad

Lamentablemente, este es solo uno de los muchos dispositivos de seguridad que los viejos dispositivos Android construyen. Es solo uno particularmente malo el que está recibiendo más atención. La mayoría de los dispositivos Android, todos los dispositivos con Android 4.3 y versiones anteriores, tienen un componente de navegador web vulnerable, por ejemplo. Esto nunca se aplicará a menos que los dispositivos se actualicen a una versión más nueva de Android. Puede ayudar a protegerse contra esto ejecutando Chrome o Firefox, pero ese navegador vulnerable estará siempre en esos dispositivos hasta que sean reemplazados. Los fabricantes no están interesados en mantenerlos actualizados y actualizados, por lo que tantas personas se han volcado a CyanogenMod.

Google, los fabricantes de dispositivos Android y los operadores de telefonía celular deben poner en orden sus actos, ya que el método actual de actualización (o, mejor dicho, no actualizar) los dispositivos Android está llevando a un ecosistema de Android con dispositivos que se abren paso en el tiempo. Esta es la razón por la que los iPhones son más seguros que los teléfonos con Android: los iPhones realmente obtienen actualizaciones de seguridad. Apple se ha comprometido a actualizar los iPhones por más tiempo que Google (solo teléfonos Nexus), Samsung y LG también se comprometen a actualizar sus teléfonos.

Probablemente haya escuchado que usar Windows XP es peligroso porque ya no se actualiza. XP continuará construyendo agujeros de seguridad con el tiempo y será cada vez más vulnerable. Bueno, usar la mayoría de los teléfonos Android es de la misma manera, ya que tampoco reciben actualizaciones de seguridad..

Algunas mitigaciones de explotación podrían ayudar a evitar que un gusano Stagefright se apodere de millones de teléfonos Android. Google argumenta que ASLR y otras protecciones en las versiones más recientes de Android ayudan a prevenir el ataque de Stagefright, y esto parece ser parcialmente cierto.

Algunos operadores de telefonía celular también parecen estar bloqueando mensajes MMS potencialmente maliciosos en su extremo, evitando que lleguen a teléfonos vulnerables. Esto ayudaría a evitar que un gusano se propague a través de mensajes MMS, al menos en portadores que toman medidas..

Crédito de la imagen: Matteo Doni en Flickr