Kritisk hul fundet i Android: En enkelt MMS kan hacke din telefon

Et kritisk hul i Android kan åbne en ladeport til alle data og kontrollen over din mobiltelefon. Der skal ikke andet end én specieldesignet MMS til at skrælle sikkerhedshullet op.

Annonce:
Annonce:
Tilbage i maj blev der fundet en alvorlig sikkerhedsfejl i Apples mobilstyresystem iOS, hvor en enkelt og helt specielt udformet sms kunne få en iPhone til at gå i sort.

Nu er den så gal med Android-systemet, hvor sikkerhedsekspert Joshua Drake fra it-sikkerhedsfirmaet Zimperium har fundet et kritisk hul i multimediemotoren Stagefright.

At sårbarheden hidrører Stagefright betyder, at en hacker ifølge Joshua Drake blandt andet kan sende en MMS eller narre en Android-bruger ind på en hjemmeside med indlejret og ondsindet multimedie-indhold.

Herefter kan hackeren tilluske sig adgang til at eksekvere kode, overtage kontrollen og fjerne indhold på offerets telefon.

Joshua Drake mener, at hullet angår alle Android-brugere fra version 2.2 og op til den nyeste version, der hedder 5.1.x- måske bedre kendt som Lollipop. Det svarer til, at op mod 95 procent af alle Android-telefoner er ramt af sårbarheden.

Hvilken konkret multimedieindhold eller MMS, der er tale om, holder sikkerhedsekspert Joshua Drake tæt ind til kroppen, indtil han skal på scenen på sikkerhedskonferencen Black Hat, der løber af stablen i starten af august.

Det skriver Computerworlds amerikanske søstermagasin PC World.

Tager lang tid at lappe
Joshua Drake opdagede sikkerhedshullet for flere måneder siden, og i april advarede han Google om sit fund.

Android-selskabet Google tog tilsyneladende truslen meget seriøst, og selskabet var hurtigt ude med en sikkerhedslap til sine hardware-leverandører af Android-telefonerne.

Selvom både Johhua Drake og Google således tilsyneladende har reageret hurtigt med at få lukket hullet, er den danske sikkerhedsekspert Jens Christian Høy Monrad fra it-selskabet FireEye ikke helt tryg ved situationen.

"Der er jo rigtig mange varianter af Android-systemet, hvilket betyder, at en del hardware-firmaer skal have opdateret deres firmware og opdateringen ud til brugerne. Det kan erfaringsmæssigt tage en god portion tid," siger Jens Christian Høy Monrad til Computerworld.

Kan ramme businessbrugere
Især anser han business-brugere af Android-telefoner som et særligt udsat segment for sikkerhedshullet, da de kan rende rundt med forretningshemmeligheder på en ulappet Android-telefon. Især er det kritisk, hvis de er på en ældre telefon, som ikke kan sikkerhedslappes.

"Almindelige Android-brugere har i første omgang ikke det store at frygte," beroliger Jens Christian Høy Monrad med.

Han er dog tryg ved, at sikkerhedseksperten Joshua Drake (endnu) ikke har offentliggjort særlig meget information om det kritiske sikkerhedshul i Stagefright.

"Offentligheden kan ikke se konkret, hvad der er fundet. Så med mindre man selv har researchet sig frem til angrebsmetoden, så er sikkerhedshullet meget, meget svært at udnytte i egentligt angreb. Altså, med mindre man besidder de samme kompetencer som personen, der fandt hullet," forklarer Jens Christian Høy Monrad.

Annonce:

Hvor tjener jeg mest?
Den danske sikkerhedsekspert afviser samtidig ikke, at der kan sidde lykkejægere ude på nettet og holde øje med Stagefright-sårbarheden.

"Især vil vi nok se en hel række opportunistiske angreb, når proof-of-concept bliver offentliggjort på Black Hat-sikkerhedskonferencen," vurderer Jens Christian Høy Monrad.

Han siger, at hvis ikke dusøren for at finde den slags huller er høje nok, kan pengedrevne sjæle godt sidde med overvejelser om, hvorvidt det ikke kunne være mere rentabelt at udnytte hullet frem for at sladre til Google og andre interessenter omkring det.

"Lige nu er det svært at vide, om der allerede er udviklet skadelig kode til at udnytte hullet, men vi bliver nok en del klogere, når vi har proof of concept til august," siger Jens Christian Høy Monrad.

Han tilføjer, at selvom man ikke 100 procent kan forhindre angreb, kan man med fordel konfigurere sin Android-telefon til ikke at automatisk afspille MMS i eksempelvis Google Hangouts og andre apps.

"Det kan stoppe at man ufrivilligt downloader malware, der bliver leveret via dette sikkerhedshul," fortæller Jens Christian Høy Monrad. 

Selvsamme sikkerhedshul er også fundet i Mozillas Firefox-browser til Android, Mac og Windows samt på SilentCircles Blackphone.

Både Mozilla og SilentCirkle har på nuværende tidspunkt lukket for sikkerhedshullet ifølge PC World.

Læs også:

Stor opdatering på vej: Nu kan Android-ure snakke sammen

Mobil og desktop: Her er danskernes yndlings-styresystemer


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Konica Minolta Business Solutions Denmark A/S
Salg af kopimaskiner, digitale produktionssystemer og it-services.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få bedre performance på forretningskritiske applikationer

Nutidens virksomheder drives af it og specielt software. Bliv opdateret på, hvordan brugen af APM kan hjælpe og understøtte overgangen til en softwaredefineret forretning. Læs mere

Wihlborgs Konferencecenter - 2750 Ballerup



Ingen ved hvordan fremtidens computervirus ser ud

Tirsdag d. 31. maj 2016 sætter vi fokus på it-sikkerhed med udgangspunkt i Microsofts teknologier. Her har du mulighed for at møde en række indlægsholdere, der vil inspirere dig til, hvordan du i praksis beskytter dig bedst muligt og hvorfor det er vigtigt at tage truslerne alvorligt - både i it-afdelingen og på direktionsgangen! Læs mere

Microsoft Danmark - 2800 Kongens Lyngby



The Mobile Wave 2016

På Computerworlds Mobile Wave konference d. 2. juni bliver du opdateret på de nye, hotte mobil-trends og får et indblik i de nye løsninger og teknologier. Oplev internationale talere og konkrete danske cases. Alt sammen helt gratis. Læs mere

Scandic Sydhavnen - 2450 København SV







Computerworld
Den næste iPhone bliver kedelig - men så sker der noget virkelig interessant
ComputerViews: Til næste år sker der noget interessant med iPhonen, og derfor kan iPhone-brugere gøre klogt i at vente med at udskifte den gamle iPhone.
CIO
Sådan fik Johnny Vad reduceret it-nedetiden fra 37.000 timer til næsten nul på et enkelt år
Ved at overvåge it-leverandørernes præstationer røg antallet af spildte arbejdstimer ned fra 37.000 til ganske få timer på et enkelt år. "Det er ganske enkelt og uhyre effektivt," fortæller it-chefen, der fik ideen.
Channelworld
Dansk HP-direktør efter opsplitning: Her er HP's fremtidsplan i Danmark
Interview: Opsplitningen af it-mastodonten HP har givet større frihed til at hjælpe kunder og forhandlere, siger den danske chef for HP's pc- og print-firma, HP Inc. Han spår, at markedet for mobile devices kommer til at drive fremtidens vækst og innovation.
White paper
Undgå risici i Public Cloud
I denne rapport: Råd, analyse og indblik, som hjælper med at maksimere gevinsterne og minimere risici ved åbne cloud-løsninger.