Kritisk hul fundet i Android: En enkelt MMS kan hacke din telefon

Et kritisk hul i Android kan åbne en ladeport til alle data og kontrollen over din mobiltelefon. Der skal ikke andet end én specieldesignet MMS til at skrælle sikkerhedshullet op.

Annonce:
Annonce:
Tilbage i maj blev der fundet en alvorlig sikkerhedsfejl i Apples mobilstyresystem iOS, hvor en enkelt og helt specielt udformet sms kunne få en iPhone til at gå i sort.

Nu er den så gal med Android-systemet, hvor sikkerhedsekspert Joshua Drake fra it-sikkerhedsfirmaet Zimperium har fundet et kritisk hul i multimediemotoren Stagefright.

At sårbarheden hidrører Stagefright betyder, at en hacker ifølge Joshua Drake blandt andet kan sende en MMS eller narre en Android-bruger ind på en hjemmeside med indlejret og ondsindet multimedie-indhold.

Herefter kan hackeren tilluske sig adgang til at eksekvere kode, overtage kontrollen og fjerne indhold på offerets telefon.

Joshua Drake mener, at hullet angår alle Android-brugere fra version 2.2 og op til den nyeste version, der hedder 5.1.x- måske bedre kendt som Lollipop. Det svarer til, at op mod 95 procent af alle Android-telefoner er ramt af sårbarheden.

Hvilken konkret multimedieindhold eller MMS, der er tale om, holder sikkerhedsekspert Joshua Drake tæt ind til kroppen, indtil han skal på scenen på sikkerhedskonferencen Black Hat, der løber af stablen i starten af august.

Det skriver Computerworlds amerikanske søstermagasin PC World.

Tager lang tid at lappe
Joshua Drake opdagede sikkerhedshullet for flere måneder siden, og i april advarede han Google om sit fund.

Android-selskabet Google tog tilsyneladende truslen meget seriøst, og selskabet var hurtigt ude med en sikkerhedslap til sine hardware-leverandører af Android-telefonerne.

Selvom både Johhua Drake og Google således tilsyneladende har reageret hurtigt med at få lukket hullet, er den danske sikkerhedsekspert Jens Christian Høy Monrad fra it-selskabet FireEye ikke helt tryg ved situationen.

"Der er jo rigtig mange varianter af Android-systemet, hvilket betyder, at en del hardware-firmaer skal have opdateret deres firmware og opdateringen ud til brugerne. Det kan erfaringsmæssigt tage en god portion tid," siger Jens Christian Høy Monrad til Computerworld.

Kan ramme businessbrugere
Især anser han business-brugere af Android-telefoner som et særligt udsat segment for sikkerhedshullet, da de kan rende rundt med forretningshemmeligheder på en ulappet Android-telefon. Især er det kritisk, hvis de er på en ældre telefon, som ikke kan sikkerhedslappes.

"Almindelige Android-brugere har i første omgang ikke det store at frygte," beroliger Jens Christian Høy Monrad med.

Han er dog tryg ved, at sikkerhedseksperten Joshua Drake (endnu) ikke har offentliggjort særlig meget information om det kritiske sikkerhedshul i Stagefright.

"Offentligheden kan ikke se konkret, hvad der er fundet. Så med mindre man selv har researchet sig frem til angrebsmetoden, så er sikkerhedshullet meget, meget svært at udnytte i egentligt angreb. Altså, med mindre man besidder de samme kompetencer som personen, der fandt hullet," forklarer Jens Christian Høy Monrad.

Annonce:

Hvor tjener jeg mest?
Den danske sikkerhedsekspert afviser samtidig ikke, at der kan sidde lykkejægere ude på nettet og holde øje med Stagefright-sårbarheden.

"Især vil vi nok se en hel række opportunistiske angreb, når proof-of-concept bliver offentliggjort på Black Hat-sikkerhedskonferencen," vurderer Jens Christian Høy Monrad.

Han siger, at hvis ikke dusøren for at finde den slags huller er høje nok, kan pengedrevne sjæle godt sidde med overvejelser om, hvorvidt det ikke kunne være mere rentabelt at udnytte hullet frem for at sladre til Google og andre interessenter omkring det.

"Lige nu er det svært at vide, om der allerede er udviklet skadelig kode til at udnytte hullet, men vi bliver nok en del klogere, når vi har proof of concept til august," siger Jens Christian Høy Monrad.

Han tilføjer, at selvom man ikke 100 procent kan forhindre angreb, kan man med fordel konfigurere sin Android-telefon til ikke at automatisk afspille MMS i eksempelvis Google Hangouts og andre apps.

"Det kan stoppe at man ufrivilligt downloader malware, der bliver leveret via dette sikkerhedshul," fortæller Jens Christian Høy Monrad. 

Selvsamme sikkerhedshul er også fundet i Mozillas Firefox-browser til Android, Mac og Windows samt på SilentCircles Blackphone.

Både Mozilla og SilentCirkle har på nuværende tidspunkt lukket for sikkerhedshullet ifølge PC World.

Læs også:

Stor opdatering på vej: Nu kan Android-ure snakke sammen

Mobil og desktop: Her er danskernes yndlings-styresystemer


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Hewlett Packard Enterprise ApS
Udvikling og salg af software, hardware, konsulentydelser, outsourcing samt service og support.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere

Whilborgs Konferencecenter - 2750 Ballerup



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere

Comwell Hotel Aarhus - 8000 Aarhus



Skygge-it

Mange it-afdelinger kæmper for at håndtere det kontrol-tab, der følger med, når medarbejdere og afdelinger begynder at anskaffe egne it-løsninger, som ikke nødvendigvis er koordineret eller godkendt af it-afdelingen. På dette How To seminar får du overblik over værktøjer og metoder til at håndtere skygge-it, så du genvinder kontrollen og minimerer it-sikkerheds-risikoen. Læs mere

Wihlborgs Konferencecenter - 2750 Ballerup







Computerworld
For få år siden var IP-telefoni det mest hotte: Nu smutter kunderne igen
Leverandørerne af IP-telefoni oplevede først et sandt boom af kunder, mens tele-teknologien var på alles læber. Nu forsvinder kunderne igen.
CIO
Ny CIO til Pandora - henter top-CIO fra GN Store Nord
Smykkegiganten Pandora henter ny CIO fra GN Store Nord. Han skal stå i spidsen for at opbygge en global it-organisation.
Channelworld
Atea spiller central rolle i nye anholdelser i it-bestikkelsessag: 3A-it afviser ethvert kendskab
3A-it peger fingeren mod Atea i bestikkelsessagen, hvor 27 mennesker fra blandt andre Forsvarets Efterretningstjeneste, Rigspolitiet og Udenrigsministeriet er sigtet for at modtage bestikkelse.
White paper
Støt produktiviteten med virtuelt samarbejde
Virtuelle samarbejdsløsninger kan være med til at øge produktivitet og samarbejde internt i virksomheden og eksternt med kunder og samarbejdspartnere. Bliv klogere på collaboration i dette White paper, skrevet af Computerworld.