En fait, c’est un peu pire que ça en a l'air Les médias se sont largement concentrés sur la méthode d'attaque MMS, mais même les vidéos MP4 intégrées dans des pages Web ou des applications peuvent compromettre votre téléphone ou votre tablette.
Pourquoi le défaut Stagefright est dangereux - Ce n’est pas juste du MMS
Certains commentateurs ont appelé cette attaque «Stagefright», mais il s’agit en fait d’une attaque contre un composant sous Android appelé Stagefright. Ceci est un composant de lecteur multimédia sous Android. Il comporte une vulnérabilité qui peut être exploitée - le plus dangereusement via un MMS, qui est un message texte avec des composants multimédias intégrés.
De nombreux fabricants de téléphones Android ont imprudemment choisi d'octroyer des autorisations système à Stagefright, une étape après l'accès root. L'exploitation de Stagefright permet à un attaquant de faire exécuter du code arbtirary avec les permissions «media» ou «system», selon la configuration du périphérique. Les autorisations système donneraient à l'attaquant un accès pratiquement complet à son appareil. Zimperium, l'organisation qui a découvert et signalé le problème, offre plus de détails.
Les applications de messagerie texte Android classiques récupèrent automatiquement les messages MMS entrants. Cela signifie que vous pourriez être compromis simplement par le fait que quelqu'un vous envoie un message par le réseau téléphonique. Lorsque votre téléphone est compromis, un ver utilisant cette vulnérabilité pourrait lire vos contacts et envoyer des messages MMS malveillants à vos contacts, se propageant comme une traînée de poudre comme le virus Melissa l’a fait en 1999 en utilisant Outlook et des contacts de messagerie.
Les rapports initiaux étaient axés sur le MMS, car c’était le vecteur le plus dangereux dont Stagefright pouvait tirer parti. Mais ce n’est pas que du MMS. Comme Trend Micro l'a souligné, cette vulnérabilité se trouve dans le composant «mediaserver» et un fichier MP4 malveillant incorporé à une page Web pourrait l'exploiter - oui, il vous suffit de naviguer vers une page Web de votre navigateur Web. Un fichier MP4 intégré dans une application qui veut exploiter votre appareil pourrait faire la même chose.
Votre smartphone ou tablette est-il vulnérable?
Votre appareil Android est probablement vulnérable. Quatre-vingt-quinze pour cent des appareils Android à l'état sauvage sont vulnérables à Stagefright.
Pour vous en assurer, installez l’application Stagefright Detector à partir de Google Play. Cette application a été réalisée par Zimperium, qui a découvert et signalé la vulnérabilité de Stagefright. Il va vérifier votre appareil et vous dire si Stagefright a été corrigé ou non sur votre téléphone Android.
Comment prévenir les attaques de Stagefright si vous êtes vulnérable
À notre connaissance, les applications antivirus Android ne vous évitent pas les attaques de Stagefright. Ils ne disposent pas nécessairement des autorisations système nécessaires pour intercepter les messages MMS et interférer avec les composants du système. Google ne peut pas non plus mettre à jour le composant Services Google Play d’Android pour résoudre ce bogue, solution souvent utilisée par Google lorsque des failles de sécurité apparaissent.
Pour vraiment vous empêcher d'être compromis, vous devez empêcher votre application de messagerie choisie de télécharger et de lancer des messages MMS. En général, cela signifie que vous désactivez le paramètre «Récupération automatique MMS» dans ses paramètres. Lorsque vous recevez un message MMS, celui-ci ne se télécharge pas automatiquement. Vous devez le télécharger en appuyant sur un espace réservé ou quelque chose de similaire. Vous ne courez aucun risque si vous ne téléchargez pas le MMS.
Vous ne devriez pas faire ça. Si le MMS provient de quelqu'un que vous ne connaissez pas, ignorez-le définitivement. Si le MMS provient d'un ami, il est possible que son téléphone soit compromis si un ver commence à décoller. Il est plus sûr de ne jamais télécharger les messages MMS si votre téléphone est vulnérable.
Pour désactiver la récupération automatique des messages MMS, suivez les étapes appropriées pour votre application de messagerie.
- Messagerie (intégré à Android): Ouvrez Messaging, appuyez sur le bouton du menu, puis appuyez sur Paramètres. Faites défiler la liste jusqu'à la section «Messages multimédia (MMS)» et décochez la case «Récupération automatique».
- Messager (par Google): ouvrez Messenger, appuyez sur le menu, sur Paramètres, sur Avancé et désactivez «Récupération automatique».
- Hangouts (par Google): ouvrez Hangouts, appuyez sur le menu, puis sélectionnez Paramètres> SMS. Décochez la case "Récupération automatique du SMS" sous Avancé. (Si vous ne voyez pas les options SMS ici, votre téléphone n'utilise pas Hangouts pour SMS. Désactivez le paramètre dans l'application SMS que vous utilisez.)
- messages (par Samsung): ouvrez Messages et accédez à Plus> Paramètres> Plus de paramètres. Tapez sur Messages multimédia et désactivez l'option «Récupération automatique». Ce paramètre peut être placé à un emplacement différent sur différents appareils Samsung, qui utilisent des versions différentes de l'application Messages.
Il est impossible de construire une liste complète ici. Ouvrez simplement l'application que vous utilisez pour envoyer des messages SMS (messages texte) et recherchez une option qui désactivera la «récupération automatique» ou le «téléchargement automatique» des messages MMS.
AttentionSi vous choisissez de télécharger un message MMS, vous êtes toujours vulnérable.Et comme la vulnérabilité de Stagefright n’est pas simplement un problème de message MMS, cela ne vous protégera pas complètement de tous les types d’attaque.
Quand votre téléphone reçoit-il un correctif?
Plutôt que d'essayer de contourner le bogue, il serait préférable que votre téléphone reçoive une mise à jour qui le corrige. Malheureusement, la situation de mise à jour Android est actuellement un cauchemar. Si vous avez un téléphone phare récent, vous pouvez probablement vous attendre à une mise à niveau à un moment donné - espérons-le. Si vous avez un téléphone plus ancien, en particulier un téléphone bas de gamme, il y a de fortes chances que vous ne receviez jamais de mise à jour.
- Appareils Nexus: Google a publié des mises à jour pour les Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 et Nexus 10. Le Nexus 7 d'origine (2012) n'est apparemment plus pris en charge et ne sera pas corrigé.
- Samsung: Sprint a commencé à publier des mises à jour des Galaxy S5, S6, S6 Edge et Note Edge. Il est difficile de savoir quand les autres transporteurs publient ces mises à jour.
Google a également déclaré à Ars Technica que «les appareils Android les plus populaires» seraient mis à jour en août, notamment:
- Samsung: Le Galaxy S3, S4 et Note 4, en plus des téléphones ci-dessus.
- HTC: Les One M7, One M8 et One M9.
- LG: Les G2, G3 et G4.
- Sony: Les Xperia Z2, Z3, Z4 et Z3 Compact.
- Android One appareils pris en charge par Google
Motorola a également annoncé qu’il remettrait à jour ses téléphones avec des mises à jour à compter du mois d’août, notamment les modèles Moto X (1re et 2e générations), Moto X Pro, Moto Maxx / Turbo, Moto G (1re, 2e et 3e générations), Moto G avec 4G LTE (1ère et 2ème génération), Moto E (1ère et 2ème génération), Moto E avec 4G LTE (2ème génération), DROID Turbo et DROID Ultra / Mini / Maxx.
Google Nexus, Samsung et LG se sont tous engagés à mettre à jour leurs téléphones avec les mises à jour de sécurité une fois par mois. Cependant, cette promesse ne concerne réellement que les téléphones phares et nécessiterait la coopération des opérateurs. On ne sait pas si cela fonctionnerait bien. Les opérateurs pourraient potentiellement faire obstacle à ces mises à jour, ce qui laisse encore un grand nombre - des milliers de modèles différents - de téléphones en cours d'utilisation sans la mise à jour.
Ou simplement installer CyanogenMod
CyanogenMod est une ROM d’Android personnalisée tierce souvent utilisée par les amateurs. Il apporte une version actuelle d'Android aux appareils que les fabricants ont cessé de supporter. Ce n’est pas vraiment la solution idéale pour une personne ordinaire, car elle nécessite de déverrouiller le chargeur de démarrage de votre téléphone. Toutefois, si votre téléphone est pris en charge, vous pouvez utiliser cette astuce pour obtenir une version actuelle d'Android avec les mises à jour de sécurité actuelles. Ce n’est pas une mauvaise idée d’installer CyanogenMod si votre téléphone n’est plus pris en charge par son fabricant.
CyanogenMod a corrigé la vulnérabilité de Stagefright dans les versions nocturnes. Ce correctif devrait bientôt être intégré à la version stable via une mise à jour OTA.
Android a un problème: la plupart des appareils ne reçoivent pas de mises à jour de sécurité
Tristement, il ne s’agit là que de l’une des nombreuses failles de sécurité accumulées par les anciens appareils Android. C’est un problème particulièrement grave qui retient davantage l’attention. La majorité des appareils Android - tous les appareils fonctionnant sous Android 4.3 ou antérieur - ont un composant de navigateur Web vulnérable, par exemple. Cela ne sera jamais corrigé à moins que les appareils ne passent à une version plus récente d'Android. Vous pouvez vous protéger contre ce problème en exécutant Chrome ou Firefox, mais ce navigateur vulnérable sera toujours utilisé sur ces appareils jusqu'à ce qu'ils soient remplacés. Les fabricants ne sont pas intéressés par leur mise à jour et leur maintenance. C’est pourquoi tant de gens se sont tournés vers CyanogenMod.
Google, les fabricants d'appareils Android et les opérateurs de téléphonie mobile doivent se mettre en ordre, car la méthode actuelle de mise à jour - ou plutôt de non mise à jour - des appareils Android crée un écosystème Android qui crée des trous au fil du temps. C'est pourquoi les iPhones sont plus sécurisés que les téléphones Android - les iPhones bénéficient en réalité de mises à jour de sécurité. Apple s'est engagé à mettre à jour les iPhones plus longtemps que Google (téléphones Nexus uniquement), Samsung et LG s'engagent également à mettre à niveau leurs téléphones.
Vous avez probablement entendu dire que l’utilisation de Windows XP est dangereuse car elle n’est plus mise à jour. XP continuera à créer des failles de sécurité au fil du temps et deviendra de plus en plus vulnérable. Eh bien, utiliser la plupart des téléphones Android est identique, ils ne reçoivent pas non plus de mises à jour de sécurité.
Certaines mesures d'atténuation pourraient aider à empêcher un ver Stagefright de s'emparer de millions de téléphones Android. Google affirme que ASLR et d'autres protections sur des versions plus récentes d'Android empêchent Stagefright d'être attaqué, ce qui semble être en partie vrai.
Certains opérateurs cellulaires semblent également bloquer les messages MMS potentiellement malveillants, les empêchant ainsi d’atteindre les téléphones vulnérables. Cela aiderait à empêcher un ver de se propager via des messages MMS, du moins chez les opérateurs qui prennent des mesures.
