La vulnerabilidad más peligrosa de Android que afectaría a más de 950 millones con tan sólo un MMS


MMS-Vulnerability

¿Tiene usted un dispositivo con Android? ¡tenga cuidado!, su smartphone Android puede ser hackeado con tan sólo abrir un mensaje de texto multimedia.

Investigadores descubrieron una peligrosa vulnerabilidad en Android, con la cual es posible apoderarse de su dispositivo con tan sólo un simple mensaje MMS. El exploit se cree que afecta a casi todos los dispositivos Android actualmente en uso, incluyendo las viejas versiones, desde Android 2.2 FroYo para adelante.

Joshua Drake, de Zimperium, una empresa especializada en seguridad móvil, descubrió diferentes vulnerabilidades en un componente principal del sistema operativo denominado “Stagefright”, el cual es utilizado para reproducir, crear y editar archivos multimedia. Él describe a esta vulnerabilidad como “la peor vulnerabilidad de Android descubierta hasta la fecha”, recordando a Heartbleed, menciona “esto es mucho peor”.

Algunas de estas vulnerabilidades pueden ser explotadas para poder ejecutar código remoto en nuestros dispositivos simplemente al recibir un mensaje MMS, o al visualizar un archivo de vídeo especialmente construido en un navegador, o incluso al abrir una página sencilla que incluya contenido multimedia con este exploit.

Como PC World explica:

Esta biblioteca no sólo es utilizada para reproducir archivos multimedia, sino también para generar automáticamente las miniaturas o extraer metadatos de los archivos de vídeo y audio, tales como su duración, tamaño, framerate, canales y otra información.

Esto significa que los usuarios no necesariamente tienen que ejecutar archivos multimedia maliciosos para que sea explotada la vulnerabilidad encontrada por Drake. La simple copia de tales archivos en el sistema de ficheros es suficiente.

Lo mas preocupante, es que esta amenaza no requiere de ningún tipo de autorización que el usuario deba permitir. Drake menciona que si tu smartphone recibe un MMS mientras descansamos (dispositivo en modo silencioso), el exploit podría ejecutarse en el dispositivo, y luego autoeliminarse, de tal forma que nunca nos percataríamos de ese ataque.

Sin embargo, los atacantes están limitados por las capacidades que puedan ser explotados mediante esta vulnerabilidad; algunos dispositivos pueden dar privilegios altos con el frameworks Stagefright en comparación a otros dispositivos, es decir, varía según dispositivos el nivel de permiso dado. En la mayoría de ellos, la cámara, micrófono y una partición externa de almacenamiento serían los puntos más vulnerables, también Drake sugiere que alrededor del 50% de los dispositivos corren Stagefright con privilegios altos, haciendo más sencillo obtener acceos root (privilegiado) y permitiría el control total.

Drake no sólo publicó información acerca de las vulnerabilidades, también creó parches y los envió a Google el pasado Abril. Dice que Google agregó esas correcciones al código interno de Android dentro de las 48 horas.

Sin embargo, la velocidad a la que las actualizaciones de Android se realizan es lenta, ocho meses después de su lanzamiento, Llollipop sólo ha alcanzado el 12% de los dispositivos. Drake cree que aproximadamente el 95% de los dispositivos Android en uso (como 950 millones de dispositivos) todavía siguen siendo vulnerables.

Puede culpar a sus proveedores por ello, pero incluso los dispositivos Nexus de Google permanecen afectados hasta el día de hoy, ya que la compañía todavía no ha parchado todos ellos contra esta vulnerabilidad. Drake dijo a PC World que el Nexus 6 fue el único dispositivo de Google que ha recibido las correcciones, y en su blog incluso publicó capturas de pantalla de un Nexus 5 vulnerado y ejecutando Android 5.1.1 Lollipop.

mmsvulnerability

Ya que muchos fabricantes y proveedores abandonan el soporte de sus dispositivos después de 18 a 24 meses, y no ofrecen más actualizaciones pasado ese periodo, él cree que es muy optimista pensar que sólo el 50% de dispositivos Android son vulnerables a esta amenaza que podrían ser parchadas, y de ser cierto, esto dejaría al resto a su suerte bajo tremendo riesgo.

Drake presentará más detalles sobre su investigación acerca de estas vulnerabilidades en el evento sobre seguridad Black Hat USA que se llevará a cabo este 5 de Agosto así mismo en el DEF CON 23 del 7 de Agosto.

 

Fuente: Zimperium vía PC World