Artikel top billede

Kritisk hul fundet i Android: En enkelt MMS kan hacke din telefon

Et kritisk hul i Android kan åbne en ladeport til alle data og kontrollen over din mobiltelefon. Der skal ikke andet end én specieldesignet MMS til at skrælle sikkerhedshullet op.

Tilbage i maj blev der fundet en alvorlig sikkerhedsfejl i Apples mobilstyresystem iOS, hvor en enkelt og helt specielt udformet sms kunne få en iPhone til at gå i sort.

Nu er den så gal med Android-systemet, hvor sikkerhedsekspert Joshua Drake fra it-sikkerhedsfirmaet Zimperium har fundet et kritisk hul i multimediemotoren Stagefright.

At sårbarheden hidrører Stagefright betyder, at en hacker ifølge Joshua Drake blandt andet kan sende en MMS eller narre en Android-bruger ind på en hjemmeside med indlejret og ondsindet multimedie-indhold.

Herefter kan hackeren tilluske sig adgang til at eksekvere kode, overtage kontrollen og fjerne indhold på offerets telefon.

Joshua Drake mener, at hullet angår alle Android-brugere fra version 2.2 og op til den nyeste version, der hedder 5.1.x- måske bedre kendt som Lollipop. Det svarer til, at op mod 95 procent af alle Android-telefoner er ramt af sårbarheden.

Hvilken konkret multimedieindhold eller MMS, der er tale om, holder sikkerhedsekspert Joshua Drake tæt ind til kroppen, indtil han skal på scenen på sikkerhedskonferencen Black Hat, der løber af stablen i starten af august.

Det skriver Computerworlds amerikanske søstermagasin PC World.

Tager lang tid at lappe

Joshua Drake opdagede sikkerhedshullet for flere måneder siden, og i april advarede han Google om sit fund.

Android-selskabet Google tog tilsyneladende truslen meget seriøst, og selskabet var hurtigt ude med en sikkerhedslap til sine hardware-leverandører af Android-telefonerne.

Selvom både Johhua Drake og Google således tilsyneladende har reageret hurtigt med at få lukket hullet, er den danske sikkerhedsekspert Jens Christian Høy Monrad fra it-selskabet FireEye ikke helt tryg ved situationen.

"Der er jo rigtig mange varianter af Android-systemet, hvilket betyder, at en del hardware-firmaer skal have opdateret deres firmware og opdateringen ud til brugerne. Det kan erfaringsmæssigt tage en god portion tid," siger Jens Christian Høy Monrad til Computerworld.

Kan ramme businessbrugere

Især anser han business-brugere af Android-telefoner som et særligt udsat segment for sikkerhedshullet, da de kan rende rundt med forretningshemmeligheder på en ulappet Android-telefon. Især er det kritisk, hvis de er på en ældre telefon, som ikke kan sikkerhedslappes.

"Almindelige Android-brugere har i første omgang ikke det store at frygte," beroliger Jens Christian Høy Monrad med.

Han er dog tryg ved, at sikkerhedseksperten Joshua Drake (endnu) ikke har offentliggjort særlig meget information om det kritiske sikkerhedshul i Stagefright.

"Offentligheden kan ikke se konkret, hvad der er fundet. Så med mindre man selv har researchet sig frem til angrebsmetoden, så er sikkerhedshullet meget, meget svært at udnytte i egentligt angreb. Altså, med mindre man besidder de samme kompetencer som personen, der fandt hullet," forklarer Jens Christian Høy Monrad.

Hvor tjener jeg mest?

Den danske sikkerhedsekspert afviser samtidig ikke, at der kan sidde lykkejægere ude på nettet og holde øje med Stagefright-sårbarheden.

"Især vil vi nok se en hel række opportunistiske angreb, når proof-of-concept bliver offentliggjort på Black Hat-sikkerhedskonferencen," vurderer Jens Christian Høy Monrad.

Han siger, at hvis ikke dusøren for at finde den slags huller er høje nok, kan pengedrevne sjæle godt sidde med overvejelser om, hvorvidt det ikke kunne være mere rentabelt at udnytte hullet frem for at sladre til Google og andre interessenter omkring det.

"Lige nu er det svært at vide, om der allerede er udviklet skadelig kode til at udnytte hullet, men vi bliver nok en del klogere, når vi har proof of concept til august," siger Jens Christian Høy Monrad.

Han tilføjer, at selvom man ikke 100 procent kan forhindre angreb, kan man med fordel konfigurere sin Android-telefon til ikke at automatisk afspille MMS i eksempelvis Google Hangouts og andre apps.

"Det kan stoppe at man ufrivilligt downloader malware, der bliver leveret via dette sikkerhedshul," fortæller Jens Christian Høy Monrad. 

Selvsamme sikkerhedshul er også fundet i Mozillas Firefox-browser til Android, Mac og Windows samt på SilentCircles Blackphone.

Både Mozilla og SilentCirkle har på nuværende tidspunkt lukket for sikkerhedshullet ifølge PC World.

Læs også:

Stor opdatering på vej: Nu kan Android-ure snakke sammen

Mobil og desktop: Her er danskernes yndlings-styresystemer




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Konica Minolta Business Solutions Denmark A/S
Salg af kopimaskiner, digitale produktionssystemer og it-services.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere