Kritisk hul fundet i Android: En enkelt MMS kan hacke din telefon

Et kritisk hul i Android kan åbne en ladeport til alle data og kontrollen over din mobiltelefon. Der skal ikke andet end én specieldesignet MMS til at skrælle sikkerhedshullet op.

Tilbage i maj blev der fundet en alvorlig sikkerhedsfejl i Apples mobilstyresystem iOS, hvor en enkelt og helt specielt udformet sms kunne få en iPhone til at gå i sort.

Nu er den så gal med Android-systemet, hvor sikkerhedsekspert Joshua Drake fra it-sikkerhedsfirmaet Zimperium har fundet et kritisk hul i multimediemotoren Stagefright.

At sårbarheden hidrører Stagefright betyder, at en hacker ifølge Joshua Drake blandt andet kan sende en MMS eller narre en Android-bruger ind på en hjemmeside med indlejret og ondsindet multimedie-indhold.

Herefter kan hackeren tilluske sig adgang til at eksekvere kode, overtage kontrollen og fjerne indhold på offerets telefon.

Joshua Drake mener, at hullet angår alle Android-brugere fra version 2.2 og op til den nyeste version, der hedder 5.1.x- måske bedre kendt som Lollipop. Det svarer til, at op mod 95 procent af alle Android-telefoner er ramt af sårbarheden.

Hvilken konkret multimedieindhold eller MMS, der er tale om, holder sikkerhedsekspert Joshua Drake tæt ind til kroppen, indtil han skal på scenen på sikkerhedskonferencen Black Hat, der løber af stablen i starten af august.

Det skriver Computerworlds amerikanske søstermagasin PC World.

Tager lang tid at lappe
Joshua Drake opdagede sikkerhedshullet for flere måneder siden, og i april advarede han Google om sit fund.

Android-selskabet Google tog tilsyneladende truslen meget seriøst, og selskabet var hurtigt ude med en sikkerhedslap til sine hardware-leverandører af Android-telefonerne.

Selvom både Johhua Drake og Google således tilsyneladende har reageret hurtigt med at få lukket hullet, er den danske sikkerhedsekspert Jens Christian Høy Monrad fra it-selskabet FireEye ikke helt tryg ved situationen.

"Der er jo rigtig mange varianter af Android-systemet, hvilket betyder, at en del hardware-firmaer skal have opdateret deres firmware og opdateringen ud til brugerne. Det kan erfaringsmæssigt tage en god portion tid," siger Jens Christian Høy Monrad til Computerworld.

Kan ramme businessbrugere
Især anser han business-brugere af Android-telefoner som et særligt udsat segment for sikkerhedshullet, da de kan rende rundt med forretningshemmeligheder på en ulappet Android-telefon. Især er det kritisk, hvis de er på en ældre telefon, som ikke kan sikkerhedslappes.

"Almindelige Android-brugere har i første omgang ikke det store at frygte," beroliger Jens Christian Høy Monrad med.

Han er dog tryg ved, at sikkerhedseksperten Joshua Drake (endnu) ikke har offentliggjort særlig meget information om det kritiske sikkerhedshul i Stagefright.

"Offentligheden kan ikke se konkret, hvad der er fundet. Så med mindre man selv har researchet sig frem til angrebsmetoden, så er sikkerhedshullet meget, meget svært at udnytte i egentligt angreb. Altså, med mindre man besidder de samme kompetencer som personen, der fandt hullet," forklarer Jens Christian Høy Monrad.

Hvor tjener jeg mest?
Den danske sikkerhedsekspert afviser samtidig ikke, at der kan sidde lykkejægere ude på nettet og holde øje med Stagefright-sårbarheden.

"Især vil vi nok se en hel række opportunistiske angreb, når proof-of-concept bliver offentliggjort på Black Hat-sikkerhedskonferencen," vurderer Jens Christian Høy Monrad.

Han siger, at hvis ikke dusøren for at finde den slags huller er høje nok, kan pengedrevne sjæle godt sidde med overvejelser om, hvorvidt det ikke kunne være mere rentabelt at udnytte hullet frem for at sladre til Google og andre interessenter omkring det.

"Lige nu er det svært at vide, om der allerede er udviklet skadelig kode til at udnytte hullet, men vi bliver nok en del klogere, når vi har proof of concept til august," siger Jens Christian Høy Monrad.

Han tilføjer, at selvom man ikke 100 procent kan forhindre angreb, kan man med fordel konfigurere sin Android-telefon til ikke at automatisk afspille MMS i eksempelvis Google Hangouts og andre apps.

"Det kan stoppe at man ufrivilligt downloader malware, der bliver leveret via dette sikkerhedshul," fortæller Jens Christian Høy Monrad. 

Selvsamme sikkerhedshul er også fundet i Mozillas Firefox-browser til Android, Mac og Windows samt på SilentCircles Blackphone.

Både Mozilla og SilentCirkle har på nuværende tidspunkt lukket for sikkerhedshullet ifølge PC World.

Læs også:

Stor opdatering på vej: Nu kan Android-ure snakke sammen

Mobil og desktop: Her er danskernes yndlings-styresystemer


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
EG A/S
Udvikling, salg, implementering og support af software og it-løsninger til ERP, CRM, BA, BI, e-handel og portaler. Infrastrukturløsninger og hardware. Fokus på brancheløsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
It-sikkerhed 2017: De nye trusler - og dit næste modtræk

Vi tager pulsen på den aktuelle it-sikkerhedssituation ved at gå i dybden med de nyeste trusler og give til inspiration til dine nødvendige modtræk. Der er masser at skulle forholde sig til som it-ansvarlig. Men har du forstået de reelle trusler, og prioriterer du sikkerhedsindsatsen på den mest hensigtsmæssige måde?

24. januar 2017 | Læs mere


It-sikkerhed 2017: De nye trusler - og dit næste modtræk

Vi tager pulsen på den aktuelle it-sikkerhedssituation ved at gå i dybden med de nyeste trusler og give til inspiration til dine nødvendige modtræk. Der er masser at skulle forholde sig til som it-ansvarlig. Men har du forstået de reelle trusler, og prioriterer du sikkerhedsindsatsen på den mest hensigtsmæssige måde?

26. januar 2017 | Læs mere


Customer Relationship Management (CRM)

CRM er stort set blevet en standard i danske virksomheder. Der stilles stigende krav til sikkerheden når værdifulde informationer om virksomhedens væsentligste aktiv - kunderne - skal sikres, deles og gemmes, og netop sikkerheden i den web-baserede løsning kan virke uoverskuelig. Hør mere om hvordan bringer du dig i front med CRM, og hvordan får du størst muligt afkast af din CRM-investering.

31. januar 2017 | Læs mere






Computerworld
Advarer om phishing-angreb: Pas på hvis du modtager denne PDF
En phishing-mail med en vedhæftet PDF er i øjeblikket på spil. Phishing-angrebet forsøger at narre modtagerne til at udlevere login-oplysninger.
CIO
2017 bliver et år, som man kommer til at skrive om i historiebøgerne: Nu kommer skiftet fra digitalisering til digital økonomi
Klumme: "I Danmark vil vi nu se et fokusskifte i ledelsesdiskussionen - ikke til digitalisering eller teknologibegejstring og -skepsis men til håndtering af en datadrevet virkelighed. For chefen gælder det nu: Op på ølkassen eller ud ad vagten.
Comon
HTC skyder smartphone-foråret i gang med ny Samsung Note 7-klon
HTC har skudt smartphone-foråret i gang med HTC U Ultra og U Play, hvor særligt U Ultra er interessant for dem, der gik glip af Note 7-smartphonen
Channelworld
Ny EG-direktør har en plan: Sådan skal EG vokse sig større og endnu mere profitabel
Interview: Mikkel Bardram er ny administrerende direktør i EG. Selvom EG nu har 2.000 ansatte og en omsætning på 1,8 milliarder kroner, er der potentiale for endnu mere, mener den nye direktør.
White paper
Microsoft Dynamics AX7 på 10 uger (Dynamics 365 for Operations)
Skal man tænke traditionelt, når man skal bygge et forretningssystem der kan drive og udvikle hvor det gælder om at være agil med stor omstillingsparathed, og hvor kravet til processer bliver større og større ?? Bliv klogere i dette white paper.