Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

por eclank Lun 27 Jul 2015, 22:32

Si tienes un smarpthone Android, está en grave peligro y posiblemente lo esté siempre

Ni más ni menos que el 95% de los terminales con Android (desde la versión 2.2 hasta la más actual, la 5.1), están en peligro y podrían quedar en control de terceros de forma bastante sencilla. Y lo que es peor, sin que el usuario se de cuenta.

La señal de alarma la han dado en Zimperium y Google no ha tardado en admitir que efectivamente tienen un grave problema que afecta a todas sus versiones de Android. La culpable es la librería Stagefright, que permite que sin que el usuario tenga que hacer nada, el terminal pueda quedar en manos de un tercero que haya incluido código malicioso en un vídeo que puede llegar por múltiples vías, especialmente mensajería instantánea.

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato 650_1200

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato 650_1200

En la era de las redes sociales y la mensajería, recibir un vídeo corto es un peligro potencial enorme que podría aprovechar este error en Android. En muchos programas, la descarga de ese vídeo para tener una previsualización rápida es un hecho, por lo que simplemente recibiendo ese vídeo por MMS u otros programas de mensajería como Hangouts ya supone un peligro en caso de que incluya código malicioso.

Aunque el aviso fue enviado a Google el pasado mes de abril por parte de los ingenieros de Zimperium, la vulnerabilidad no había salido todavía a la luz y por ahora no se conoce que haya sido aprovechado por hackers.

Google dice haber preparado ya las actualizaciones necesarias que han sido enviadas a los fabricantes para que las puedan incluir en actualizaciones del sistema, lo que unido a las propias herramientas de Android (según Google), serían suficiente para mitigar este error de seguridad tan importante, seguramente el que más en la historia de Android.

Pero el problema con esta solución no es la rapidez o lentitud con que se haya realizado sino las actualizaciones de terminales Android. Dado que afecta a terminales desde la versión 2.2 de Android, es imposible visto el historial de Android que esos terminales (incluso puede que modelos más allá de Android 4.0) lleguen alguna vez a tener una actualización del sistema que pueda solucionar este grave fallo.

De hecho, la cifra que estiman desde la firma de seguridad, liderada por Joshua Drake, es demoledora: menos del 50% de los terminales con Android llegarían en algún momento a ver solucionada esta vulnerabilidad en sus terminales.

http://www.xataka.com/moviles/si-tienes-un-smarpthone-android-esta-en-grave-peligro-y-posiblemente-lo-este-siempre

por SocratesGroucho Lun 27 Jul 2015, 22:39

Spoiler:

Saludos.

por eclank Lun 27 Jul 2015, 22:52

Pues es bastante preocupante si es tan fácil como lo pintan:

Paso 1: Recibes un mensaje con un vídeo malicioso
Paso 2: No hay paso 2, ya se ha ejecutado el código malicioso y el atacante puede tener el control del sistema

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato 1079861025

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato 1079861025

Y lo peor es que las compañías tardarán meses en parchearlo si es que lo hacen (en mi caso tengo más que asumido que no).

Parece que para la parte de los MMS, basta con no usar Hangouts y desactivar la descarga automática, pero en mensajería instantanea...

According to Joshua Drake, security researcher at Zimperium, here’s how it would work: a hacker creates a malware-laden video, sends you the file through MMS, and that’s it. Depending on which messaging application you’re using, the video could trigger the vulnerability right away. For instance, Hangouts processes videos instantly which allows users to view the media content right away, no waiting required. For most stock text messaging apps, though, you’d need to open the message and play the video in order for the hackery to take place. When talking about messaging apps, Drake notes that “it does not require in either case for the targeted user to have to play back the media at all”.

http://www.androidauthority.com/security-firm-uncovers-android-vulnerability-628741/

por qablo Mar 28 Jul 2015, 00:55

habrá que ir borrando todas las fotos de desnudos del móvil

Spoiler:

por **Doctor Geo** Mar 28 Jul 2015, 10:42

No deja de ser tan sencillo como no abrir el vídeo que te mandan.
Es como en los tiempos del mésenyer, que de vez en cuando alguien te habría conversación diciendo lo guay que es el enlace y que debería visitarlo.

por **pabs11** Mar 28 Jul 2015, 11:24

Android es como Windows en PC. Lo usa tanta gente que es fácil encontrar una vulnerabilidad.

por eclank Mar 28 Jul 2015, 11:35

Doctor Geo escribió:No deja de ser tan sencillo como no abrir el vídeo que te mandan.
Es como en los tiempos del mésenyer, que de vez en cuando alguien te habría conversación diciendo lo guay que es el enlace y que debería visitarlo.

Lo grave es eso, que en ocasiones no hace falta ni abrirlo para que se ejecute, ya que el programa de mensajería instantánea lo procesa antes para darte la notificación. Mira el quote en inglés de mi anterior mensaje.

por AvilesII Mar 28 Jul 2015, 12:25

A ver si lo pillo... A mí me mandan un vídeo por whatsapp y me entran en el móvil aunque no lo abra solo con que lo descargue?

por **pabs11** Mar 28 Jul 2015, 13:01

AvilesII escribió:A ver si lo pillo... A mí me mandan un vídeo por whatsapp y me entran en el móvil aunque no lo abra solo con que lo descargue?

Si.

por eclank Mar 28 Jul 2015, 13:06

AvilesII escribió:A ver si lo pillo... A mí me mandan un vídeo por whatsapp y me entran en el móvil aunque no lo abra solo con que lo descargue?

Por lo visto depende de si la aplicación lo descarga y procesa en segundo plano (ejemplo, Hangouts que te muestra una previsualización en las notificaciones) o si no lo procesa hasta que tú lo abras, no sé cuál será el caso de Whastapp. Pero sí, puede llegar a ser tan fácil como dices.

Supongo que a raíz de esto deberán de actualizarse las aplicaciones más populares para dar opción de inhabilitar este comportamiento pero a saber.

pabs11 escribió:Android es como Windows en PC. Lo usa tanta gente que es fácil encontrar una vulnerabilidad.

Sí, la diferencia es que Windows Update funciona en todos los equipos... Android depende de que al fabricante de tu teléfono le salga del pene actualizarlo. No entiendo como Google no se ha puesto las pilas en este sentido.

por Mr.Kawaii Mar 28 Jul 2015, 13:19

Joder que basura de SO es android Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato 1079861025

Creo que el próximo movil que me comprare sera windows phone

por **Doctor Geo** Mar 28 Jul 2015, 16:01

En el caso de la Guasap yo tengo desactivada la descarga automática de vídeos. Más que nada porque la mayoría son chorradas que ocupan mucha memoria y copan muchos datos móviles al descargarse.

por **tirant** Mar 28 Jul 2015, 16:14

Doctor Geo escribió:En el caso de la Guasap yo tengo desactivada la descarga automática de vídeos. Más que nada porque la mayoría son chorradas que ocupan mucha memoria y copan muchos datos móviles al descargarse.

Yo directamente de todo. Ni videos ni imágenes ni nada aunque esté con wifi. Desde que estuve en un grupo que no paraban de pasar pics y videos cada día decidí que era lo mejor.

¿Eso quiere decir que si solo tengo el whatsapp y no tengo hangouts ni mierdas de esas y tengo desactivada la descarga automática estoy a salvo? bounce

por **pabs11** Mar 28 Jul 2015, 18:09

Doctor Geo escribió:En el caso de la Guasap yo tengo desactivada la descarga automática de vídeos. Más que nada porque la mayoría son chorradas que ocupan mucha memoria y copan muchos datos móviles al descargarse.

por Il Divo Mar 28 Jul 2015, 18:11

Yo es que no le veo ni pies ni cabeza a esto, sinceramente.

por Contenido patrocinado

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato

Re: Descubierta vulnerabilidad crítica de Android 2.2 a 5.1: Vídeo malicioso para tomar el control del aparato