Problema de segurança do Stagefright: o que um usuário comum pode fazer para atenuar o problema sem um patch?

Parece haver uma enorme vulnerabilidade de segurança no Android que parece afetar basicamente todos os telefones. PC World escreveu:

A grande maioria dos telefones Android pode ser invadida enviando-lhes uma mensagem multimídia (MMS) especialmente criada, descobriu um pesquisador de segurança [Joshua Drake].

...

Drake encontrou várias vulnerabilidades em um componente Android principal chamado Stagefright, usado para processar, reproduzir e gravar arquivos multimídia. Algumas das falhas permitem a execução remota de código e podem ser acionadas ao receber uma mensagem MMS, ao baixar um arquivo de vídeo especialmente criado pelo navegador ou ao abrir uma página da Web com conteúdo multimídia incorporado.

...

O vetor de ataque MMS é o mais assustador de todos, porque não requer nenhuma interação do usuário; o telefone só precisa receber uma mensagem maliciosa.

Por exemplo, o invasor pode enviar o MMS malicioso quando a vítima está dormindo e a campainha do telefone é silenciada, disse Drake. Após a exploração, a mensagem pode ser excluída, para que a vítima nunca saiba que seu telefone foi invadido, disse ele.

O que um usuário comum pode fazer para atenuar o problema? Desativar o Google Hangouts?

Não se trata apenas de MMS ou navegação na Web, pois o Stagefright é a biblioteca que ajuda os telefones a descompactar mensagens multimídia: consulte Mídia e este artigo na Fortune.

Portanto, trata-se de qualquer aplicativo (incluindo o navegador da web) que funciona com multimídia (videoclipes e registros de áudio). O MMS é apenas uma maneira mais fácil de explorá-lo, porque seu telefone não pergunta antes de fazer o download.

É por isso que você também precisa pensar em todos os outros aplicativos que trabalham com multimídia e nunca abrir anexos de multimídia antes que a correção não seja instalada no telefone.

Para o navegador da Web, você pode mudar para o Firefox 38 ou superior e continuar abrindo páginas da Web com conteúdo de vídeo e / ou áudio.

Para resumir:

• Desative a recuperação automática de MMS no seu aplicativo de mensagens (o que for) ( Guia com imagens )
• Mude para o Firefox 38 ou posterior (encontre-o no seu mercado / loja de aplicativos)
• Alterne para um gerenciador de sistema de arquivos, ocultando miniaturas de vídeo , que é o padrão do Total commander
• Alterne para um reprodutor de vídeo que seja imune, por exemplo, o reprodutor MX do reprodutor de vídeo (certifique-se de ativar a configuração "HW +" para todos os formatos de vídeo ), apontado pelos hulkingtickets

• Não abra nenhum arquivo multimídia ou desenhe miniaturas de vídeo em outros aplicativos e bloqueie a abertura / download automático deles em todos os aplicativos, se possível. Isso é muito importante . Se o seu telefone não estiver corrigido e você usar QUALQUER aplicativo com conteúdo multimídia, e não houver opção para bloquear a abertura automática de multimídia nesse aplicativo (exemplo: navegador: se você abrir uma página aleatória da Web, o navegador deverá pré-carregar vídeos, se eles estão nesta página da Web), pare de usar este aplicativo e bloqueie o acesso à Internet para esse aplicativo (se você não puder - exclua o aplicativo). Se este aplicativo for importante para você, e você não puder atualizar o firmware do telefone ou bloquear a multimídia, basta parar de usar o telefone e comprar outro , que não é vulnerável.

  Sim, isso significa que, na pior das hipóteses, você precisa trocar o telefone. O Stagefright é uma vulnerabilidade muito séria que afeta ~ 1 bilhão de dispositivos, para que você possa facilmente se tornar vítima de ataque automatizado, que não é feito diretamente contra você, mas direcionado a todos os 1 bilhão de usuários.

• Instale as atualizações, se você tiver o Cyanogenmod 11 ou 12 (corrigido em 23.07.2015, consulte commits no github )

  EDIT: as correções de 23.07.2015 estavam incompletas, talvez seja necessário atualizar novamente após a correção em 13.08.2015

  EDIT 4: Correções em 2015/08/13 foram novamente incompleta, você precisa atualizar mais uma vez depois de correções do Google em outubro de 2015 (os chamados Stagefright 2.0). Se você possui o Adroid 5.x ou 6, pode ser necessário atualizar novamente após as próximas correções do Google em novembro de 2015, pois existem vulnerabilidades igualmente perigosas (CVE-2015-6608 e CVE-2015-6609), que provavelmente não são chamado Stagefright mais. Observe que o tempo de correção real do fabricante pode ser posterior, ou pelo menos diferente. Por exemplo, o CM11 foi atualizado em 11/09/2015, enquanto o CM12.1 foi atualizado em 29.09.2015 .

  EDIT 5: 2 mais vulnerabilidades do Stagefright são relatadas pelo Google em 01.02.2016, no entanto, elas "apenas" afetam o Adroid 4.4.4 - 6.0.1

• Aguarde atualização do fabricante

  EDIT2: Semelhante ao Cyanogenmod, uma atualização do fabricante pode não ser suficiente, devido ao problema com a correção inicial de excesso de número inteiro, relatada em 12.08.2015: Correção de número inteiro original sem efeito . Portanto, mesmo após a atualização, é recomendável verificar se o telefone ainda está vulnerável usando o aplicativo da Zimperium (localizador do problema Stagefright): Aplicativo Zimperium Stagefright Detector

• Se você já possui root, tente a correção oferecida pelo GoOrDie. Veja também este guia de instruções.

  EDIT 3. Tentei esta correção no Samsung S4 mini e não funcionou. Portanto, pense duas vezes antes de fazer o root no seu telefone.

Para atenuar esse ataque, desativei os MMSes, pois não os uso de qualquer maneira. Você pode fazer isso no menu Configurações. Selecione Redes celulares> Nomes de pontos de acesso, selecione seu ponto de acesso e remova "mms" do tipo APN. Eu também limpei o MMSC.

_{(Clique na imagem para ampliar; passe o mouse na imagem para conhecer as instruções)}

_{Ordem de instruções: Siga as imagens da esquerda para a direita em cada linha}

Observe que o Android converte SMSs de grupo em MMSes, portanto, convém desativá-lo. Para fazer isso, acesse o aplicativo Messaging, abra o menu Configurações e desabilite as Mensagens em grupo e a Recuperação automática.

A versão mais recente do Hangouts atenua esse problema, parece que ele faz algumas verificações extras antes de passar a mídia para o serviço do sistema. Porém, ele não corrige o problema subjacente no sistema.

Você também pode desativar a recuperação automática de MMS no Hangouts, Settings→ SMS→ desmarcar Auto retrieve MMSou, no Messenger, Settings→ Advanced→ desativar Auto-retrieveem MMS. Este site possui etapas detalhadas, se você precisar delas.

Esse problema também afeta a navegação na web. Tente desativar as media.stagefrightpropriedades relacionadas (se existir) no build.proparquivo de configuração.

Monte a partição raiz como rwe edite build.prop. Defina media.stagefright.enable-###comofalse

Nota: isso requer acesso root .

A Zimperium, a empresa que relatou a vulnerabilidade, postou informações adicionais sobre as vulnerabilidades relacionadas ao Stagefright. . Na Google Play Store, há um aplicativo que detectará se a vulnerabilidade está presente no seu dispositivo. Aparentemente, a Samsung também postou um aplicativo que desativará o MMS em dispositivos Samsung, embora isso não esteja na Play Store.

Como o MMS (mensagens multimídia) é uma das várias maneiras pelas quais essa exploração pode ser executada, você pode impedir que isso ocorra com explorações do MMS. O Stagefright por si só não é uma exploração. O Stagefright é uma biblioteca multimídia embutida na estrutura do Android.

A exploração foi encontrada em uma ferramenta multimídia oculta no nível profundo do sistema, para que quase todas as variantes do Android que possuem a ferramenta em seu núcleo pudessem ser facilmente segmentadas. De acordo com o estudo do Zimperium zLabs, um único texto multimídia pode abrir a câmera do seu dispositivo e começar a gravar vídeo ou áudio, além de permitir que hackers tenham acesso a todas as suas fotos ou Bluetooth. A correção do Stagefright exigiria uma atualização completa do sistema (que ainda não foi divulgada por nenhum OEM), pois a exploração é incorporada a uma ferramenta em todo o sistema. Felizmente, os desenvolvedores de aplicativos SMS já resolveram o problema com suas próprias mãos e lançaram correções temporárias para evitar que o Stagefright obtenha acesso automático à câmera do seu dispositivo, impedindo a execução de mensagens de vídeo MMS à medida que elas chegam.[Fonte - Notícias do Android]

Você pode usar o Textra SMS ou o Chomp SMS da Play Store, que afirma ser capaz de limitar essa exploração Stagefirght . Os aplicativos Textra e Chomp SMS, desenvolvidos pela Delicious Inc. , receberam atualizações totalmente novas que limitam o modo como as mensagens MMS de vídeo são executadas assim que são recebidas pelo dispositivo.

Do Textra Knowledge Base artigo,

A exploração stagefright pode ocorrer quando qualquer aplicativo SMS / MMS cria a miniatura de vídeo MMS que é exibida no balão ou na notificação da conversa ou se um usuário pressiona o botão de reprodução no vídeo ou salva na Galeria.

Já fornecemos uma solução para o 'StageFright' na versão 3.1 do Textra.

Muito importante: em outros aplicativos SMS / MMS, desativar a recuperação automática NÃO é suficiente, pois depois que você toca em 'baixar', a exploração potencialmente se torna ativa. Além disso, você não receberá fotos MMS ou mensagens de grupo. Não é uma boa solução.

De acordo com o desenvolvedor dos dois aplicativos,

o risco de o seu dispositivo ser direcionado para essa nova exploração diminui bastante ao negar às mensagens MMS a capacidade de executar automaticamente.

Como posso me proteger do Stagefright usando o Textra?

Ative as Stagefright Protectionconfigurações do aplicativo Textra.

_{Screenshot (Clique para ampliar a imagem)}

Então, eis o que acontece se você ativar a proteção Stagefright do aplicativo e se você receber uma mensagem de exploração do Stagefright,

1. Stagefright Protected: Como você pode ver abaixo, a mensagem não foi baixada e a miniatura não foi resolvida; portanto, se este vídeo tiver uma exploração direcionada ao Stagefright, ele ainda não poderá executar seu código. A mensagem tem um belo rótulo "Stagefright Protection" abaixo dela.

_{Screenshot (Clique para ampliar a imagem)}

2. O que acontece se eu clicar na mensagem Stagefright Protected? : Quando você pressiona o botão Play na mensagem MMS: uma caixa ainda maior, com um botão play ainda maior e um rótulo "Stagefright" ainda maior.

_{Screenshot (Clique para ampliar a imagem)}

3. Você ainda deseja abrir a mídia e ser afetado? : Finalmente, clicar no botão Reproduzir uma última vez exibirá uma boa mensagem de aviso lembrando que os vídeos baixados podem conter uma exploração chamada Stagefright.

( Nota: não há exploração conhecida e, se houvesse seu nome, não seria Stagefright, pois Stagefright é simplesmente o nome da biblioteca multimídia que é vulnerável a ser explorada ).

_{Screenshot (Clique para ampliar a imagem)}

Pressionar o OKAYbotão exibirá o vídeo que você estava assistindo, e é isso. Se o vídeo na verdade continha uma exploração direcionada ao Stagefright, ele seria executado de fato neste momento.

Fonte: Phandroid

Se você está curioso para saber se você já foi afetado e é vítima da exploração do Stagefright, baixe este aplicativo Stagefright Detector do PlayStore, lançado pela zLabs (laboratórios de pesquisa do Zimperium), que primeiro relatou o problema ao Google.

Atualizado: [18-09-2k15]

A Motorola lançou oficialmente um patch de segurança para o problema de segurança Stagefright em 10 de agosto para as operadoras para teste e seu lançamento ao público com base no provedor da operadora. É mencionado nos fóruns que,

Assim que um patch estiver pronto, você verá uma notificação no seu telefone para baixar e instalar a atualização. Incentivamos todos a verificar periodicamente se possuem o software mais recente, acessando Configurações> Sobre o telefone> Atualizações do sistema.

E se você usa a Motorola e ainda não recebeu o patch de segurança, pode ler o seguinte para evitar o risco de segurança sob ataque,

O que posso fazer para me proteger se meu telefone não tiver o patch? Primeiro, faça o download apenas do conteúdo multimídia (como anexos ou qualquer coisa que precise ser decodificada para visualizá-lo) de pessoas que você conhece e confia. Você pode desativar a capacidade do seu telefone para baixar o MMS automaticamente. Dessa forma, você pode optar por fazer o download apenas de fontes confiáveis.

• Mensagens: vá para Configurações. Desmarque a opção "Recuperar automaticamente MMS".
• Hangouts (se ativado para SMS; se estiver acinzentado, não é necessário executar uma ação): vá para Configurações> SMS. Desmarque a opção Recuperar automaticamente MMS.
• Verizon Message +: vá para Configurações> Configurações avançadas. Desmarque Recuperar automaticamente. Desmarque a opção "Ativar visualização do link da web".
• Whatsapp Messenger: vá para Configurações> Configurações de bate-papo> Download automático de mídia. Desative todos os downloads automáticos de vídeo em "Ao usar dados móveis", "Quando conectado no Wi-Fi" e "Em roaming".
• Handcent Next SMS: vá para configurações> Configurações de recebimento de mensagens. Desative a recuperação automática.

Leia mais sobre:

Como se proteger da vulnerabilidade do estágio crítico?
Quais são os outros vetores de ataque do Stagefright?

O MX Player do ad-ware alega reproduzir vídeos sem erros relacionados ao estágiofright . Você precisa selecionar todos os botões cinza e todos os botões marcados em azul mostrados nestas imagens:

Você também precisará limpar os padrões de todos os aplicativos do Player de vídeo e selecionar MX Player como o aplicativo padrão do Player.

Disclaimer: Este aplicativo vem em duas versões: uma gratuita com anúncios e a outra "Pro" por 6,10 € . Eu não sou parente de seus autores. Não receberei receita com este post. Só posso receber uma certa quantidade de pontos de repetição.

Agradeço aos hulkingtickets pela ideia desta resposta.