AndroidのStagefrightエクスプロイトあなたが知っておくべきことと自分を守る方法

Androidには、「Stagefright」というコンポーネントに大量のセキュリティバグがあります。悪意のあるMMSメッセージを受信するだけで、携帯電話が危険にさらされる可能性があります。 Windows XPの初期の頃にワームが行ったように、ワームが電話から電話に広がるのを見たことがないのは驚くべきことです - すべての要素はここにあります.

それは実際には思っているより少し悪いです。メディアは主にMMS攻撃方法に焦点を当てていますが、Webページやアプリに埋め込まれたMP4ビデオでも携帯電話やタブレットを危険にさらす可能性があります.

Stagefrightの欠陥がなぜ危険なのか - それはMMSだけではない

この攻撃を「Stagefright」と呼ぶコメンテーターもいますが、実際にはAndroidのStagefrightという名前のコンポーネントに対する攻撃です。これはAndroidのマルチメディアプレーヤーコンポーネントです。これは悪用される可能性がある脆弱性を抱えています - 最も危険なのは、マルチメディアコンポーネントが埋め込まれたテキストメッセージであるMMS経由です。.

多くのAndroid携帯メーカーは、Stagefrightにシステムアクセス許可を与えることを賢明に選択しています。 Stagefrightを悪用すると、攻撃者はデバイスの構成方法に応じて、 "メディア"または "システム"のいずれかの権限で任意のコードを実行することができます。システム権限は、攻撃者に基本的に自分のデバイスへの完全なアクセスを許可します。この問題を発見し報告した組織Zimperiumが詳細を提供しています。.

典型的なAndroidのテキストメッセージングアプリは自動的に着信MMSメッセージを取得します。これは、電話ネットワークを介して誰かがあなたにメッセージを送信することによって、あなたが妥協される可能性があることを意味します。電話が危険にさらされて、この脆弱性を利用するワームがあなたの連絡先を読んで、あなたの連絡先に悪意のあるMMSメッセージを送信することができます。.

それがStagefrightが利用する可能性がある最も潜在的に危険なベクトルだったので最初の報告はMMSに焦点を合わせた。しかしそれはMMSだけではありません。トレンドマイクロが指摘したように、この脆弱性は「mediaserver」コンポーネントにあり、Webページに埋め込まれた悪質なMP4ファイルがそれを悪用する可能性があります - はい、WebブラウザでWebページに移動するだけです。あなたのデバイスを悪用しようとするアプリに埋め込まれたMP4ファイルも同じことができます.

あなたのスマートフォンやタブレットは脆弱ですか?

あなたのAndroidデバイスはおそらく脆弱です。野生のAndroidデバイスの95％がStagefrightに対して脆弱です.

確認するには、Google PlayからStagefright Detector Appをインストールしてください。このアプリは、Stagefrightの脆弱性を発見し報告したZimperiumによって作成されました。それはあなたのデバイスをチェックして、StagefrightがあなたのAndroid携帯電話にパッチを当てられたかどうかあなたに言うでしょう.

脆弱な場合にStagefright攻撃を防ぐ方法

私たちが知る限りでは、Androidのウイルス対策アプリはStagefright攻撃からあなたを救うことはできません。 MMSメッセージを傍受し、システムコンポーネントを妨害するのに十分なシステム権限が必ずしもあるわけではありません。 Googleは、AndroidのGoogle Play Servicesコンポーネントをアップデートしてこのバグを修正することもできません。Googleはセキュリティホールが発生したときによく使用するパッチワークソリューションです。.

自分自身が危険にさらされるのを防ぐには、選択したメッセージングアプリがMMSメッセージをダウンロードして起動するのを防ぐ必要があります。一般に、これはその設定の「MMS自動取得」設定を無効にすることを意味します。 MMSメッセージを受信しても自動的にはダウンロードされません。プレースホルダーなどをタップしてダウンロードする必要があります。 MMSをダウンロードしない限り、危険にさらされることはありません。.

あなたはこれをするべきではありません。 MMSがあなたが知らない人からのものであれば、絶対に無視してください。 MMSが友人からのものである場合、ワームが飛び出し始めれば彼らの電話は危険にさらされている可能性があります。携帯電話に脆弱性がある場合は、MMSメッセージをダウンロードしない方が安全です。.

MMSメッセージの自動取得を無効にするには、メッセージングアプリの適切な手順に従います。.

メッセージング （Androidに内蔵）：メッセージングを開き、メニューボタンをタップして、「設定」をタップします。「マルチメディア（MMS）メッセージ」セクションまでスクロールし、「自動取得」のチェックを外します。
メッセンジャー （Googleによる）：Messengerを開き、メニューをタップし、設定をタップし、詳細設定をタップし、そして「自動取得」を無効にする。
ハングアウト （Google）：ハングアウトを開いてメニューをタップし、[設定]> [SMS]に移動します。 [詳細設定]の[SMSを自動的に取得する]のチェックを外します（ここにSMSのオプションが表示されない場合は、電話でSMSにハングアウトが使用されていません。代わりに使用するSMSアプリの設定を無効にしてください）。
メッセージ （サムスンによる）：メッセージを開き、詳細>設定>詳細設定に移動します。 [マルチメディアメッセージ]をタップして、[自動取得]オプションを無効にします。この設定は、さまざまなバージョンのメッセージアプリを使用するさまざまなサムスン製デバイスでは異なる場所にある可能性があります。.

完全なリストをここに作成することは不可能です。 SMSメッセージ（テキストメッセージ）を送信するために使用するアプリを開き、MMSメッセージの「自動取得」または「自動ダウンロード」を無効にするオプションを探します。.

警告あなたがMMSメッセージをダウンロードすることを選択した場合、あなたはまだ脆弱です。そして、Stagefrightの脆弱性は単なるMMSメッセージの問題ではないので、これはあらゆる種類の攻撃からあなたを完全に保護するわけではありません。.

電話機にパッチが適用される時期?

バグを回避しようとするよりも、お使いの携帯電話がただそれを修正したアップデートを受け取った方が良いでしょう。残念ながら、Androidのアップデート状況は現在悪夢です。あなたが最近の主力電話を持っているなら、おそらくある時点でアップグレードを期待することができます - うまくいけば。古い携帯電話、特にローエンドの携帯電話をお持ちの場合は、アップデートが届かないことがあります。.

ネクサスデバイス：Nexus 4、Nexus 5、Nexus 6、Nexus 7（2013）、Nexus 9、およびNexus 10のアップデートがGoogleからリリースされました。オリジナルのNexus 7（2012）はサポートされなくなったため、パッチは適用されません。
サムソン：Sprintは、Galaxy S5、S6、S6 Edge、およびNote Edgeへの更新をプッシュし始めました。他の通信事業者がこれらの最新情報を公表している時期は不明.

グーグルはまた、アルステクニカに「最も人気のあるAndroidデバイス」が8月にアップデートされるだろうと語った。

サムソン：上記の電話に加えて、ギャラクシーS3、S4、および注4.
HTC：ワンM7、ワンM8、ワンM9.
LG：G2、G3、およびG4.
ソニー：Xperia Z2、Z3、Z4、Z3コンパクト.
アンドロイドワン Googleでサポートされている端末

モトローラはまた、モトX（第1および第2世代）、モトX Pro、モトMaxx /ターボ、モトG（第1、第2、および第3世代）、モトGなど、8月から始まるアップデートで携帯電話にパッチをあてると発表しました。 4G LTE（第1および第2世代）、Moto E（第1および第2世代）、4G LTE（第2世代）、Moto E、DROID Turbo、およびDROID Ultra / Mini / Maxxを搭載.

Google Nexus、Samsung、LGは、毎月1回、セキュリティアップデートを使用して携帯電話をアップデートすることを約束しています。ただし、この約束は主力電話にのみ当てはまり、通信事業者の協力が必要になります。これがどの程度うまくいくかは不明です。携帯電話会社は潜在的にこれらのアップデートの邪魔をする可能性があります、そしてこれはまだアップデートなしで使用中の電話の多数 - 何千もの異なるモデル - を残します.

または、CyanogenModをインストールするだけです

CyanogenModは、愛好家によく使われるAndroidのサードパーティ製カスタムROMです。それは、製造業者がサポートを中止したデバイスにAndroidの現在のバージョンをもたらします。それはあなたの携帯電話のブートローダのロックを解除する必要があるので、これは平均的な人にとって本当に理想的な解決策ではありません。ただし、お使いの携帯電話がサポートされている場合は、このトリックを使って現在のセキュリティアップデートを適用したAndroidの最新バージョンを入手できます。あなたの携帯電話がもはやその製造元によってサポートされていない場合はCyanogenModをインストールすることは悪くない考えではありません.

CyanogenModは、毎晩のバージョンでStagefrightの脆弱性を修正しました、そして修正はOTAアップデートを介してまもなく安定バージョンにそれをするべきです.

Androidに問題がある：ほとんどのデバイスはセキュリティアップデートを入手できない

これは、古いAndroidデバイスが蓄積していた多くのセキュリティホールの1つにすぎません。特に注目を集めているのは、特に悪いことです。たとえば、Android 4.3以降のバージョンを実行しているすべてのデバイスには、脆弱なWebブラウザコンポーネントが含まれています。デバイスが新しいバージョンのAndroidにアップグレードされない限り、これは決して修正されません。 ChromeまたはFirefoxを実行することで、それに対して身を守ることができますが、その脆弱なブラウザは、置き換えられるまでそれらのデバイスに永久に存在します。製造業者はそれらを最新の状態に保ち、維持することには興味がありません。そのため、多くの人々がCyanogenModに目を向けています。.

Google、Androidデバイス製造業者、携帯電話会社は順調に行動を起こす必要があります。現在の更新方法ではなく、むしろ更新ではありません。Androidエコシステムでは、時間の経過とともにデバイスが穴を開けます。これが、iPhoneがAndroid携帯よりも安全である理由です。iPhoneは実際にセキュリティアップデートを入手しています。アップルはグーグルよりも長い間iPhoneをアップデートすることを約束しており（Nexus電話のみ）、サムソン、そしてLGも彼らの電話をアップグレードしようとしている。.

あなたはおそらくそれがもはや更新されていないのでWindows XPを使用することは危険であると聞いたことがあるでしょう。 XPは時間の経過とともにセキュリティホールを蓄積し続け、ますます脆弱になります。まあ、ほとんどのAndroid携帯電話を使用することは同じ方法です - 彼らはまた、セキュリティアップデートを受け取っていません.

一部のエクスプロイト緩和策は、Stagefrightワームが何百万ものAndroid携帯を乗っ取るのを防ぐのに役立つ可能性があります。 Googleは、より新しいバージョンのAndroidに対するASLRおよびその他の保護がStagefrightの攻撃を防止するのに役立つと主張しており、これは部分的に正しいように思われる.

携帯電話会社によっては、悪意のあるMMSメッセージがブロックされ、脆弱な携帯電話に届くのを防ぐこともできます。これはワームがMMSメッセージを介して拡散するのを防ぐのに役立ちます。.

画像のクレジット：FlickrのMatteo Doni