c.m.g
28-07-2015, 07:30
martedì 28 luglio 2015
Sei vulnerabilità affliggono tutte le versioni di Android a partire dalla 2.2, vale a dire 950 milioni di dispositivi: consentono ad un malintenzionato di prendere il controllo del terminale o di alcune sue funzioni
Roma - Non serve altro che il numero di telefono della vittima potenziale per condurre un attacco che permette in molti casi di prendere il completo controllo del dispositivo Android della vittima: in attesa della presentazione (https://www.blackhat.com/us-15/briefings.html#stagefright-scary-code-in-the-heart-of-android) in programma presso il Def Con nei prossimi giorni, Joshua Drake, ricercatore della security company Zimperium, ha tratteggiato (http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/) l'attacco come efficace per 950 milioni di device, il 95 per cento dei dispositivi Android in circolazione.
http://www.punto-informatico.it/punto/20150727/stagefright.jpg
Le sei vulnerabilità che rendono possibile il crack, spiega (http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/) Drake, risiedono nella componente Stagefright (http://source.android.com/devices/media.html), responsabile della gestione di diversi formati di file multimediali. Per sfruttare la paggiore di queste vulnerabilità basta indirizzare l'utente verso un video appositamente confezionato sul Web o inviarlo come messaggio.
Poiché la libreria si occupa di generare anteprime e di gestire i metadati dei file, a seconda delle applicazioni da cui il file è veicolato, non è necessario (http://www.pcworld.com/article/2953052/most-android-phones-can-be-hacked-with-a-simple-mms-message-or-multimedia-file.html#tk.rss_all) che l'utente lo apra, o addirittura che riceva una notifica di avvenuta ricezione. Se ad esempio per l'app Messenger per i Galaxy Nexus animati da Ice Cream Sandwich è indispensabile che la vittima visualizzi l'MMS, ha spiegato (http://www.forbes.com/sites/thomasbrewster/2015/07/27/android-text-attacks/) Drake a Forbes, procedendo con l'app di messaggistica Google Hangouts è possibile per l'attaccante prevenire la notifica e cancellare il file veicolo dell'attacco, prendendo il controllo del dispositivo senza che l'utente si accorga di alcunché.A seconda del dispositivo colpito, l'attaccante potrebbe guadagnare diversi privilegi: Drake stima che nel 50 per cento dei casi l'attacco può garantire un livello di accesso root al sistema, e quindi il completo controllo del dispositivo, mentre negli altri casi il malintenzionato potrebbe accedere a microfono, fotocamera e memoria esterna.
Le vulnerabilità, ha spiegato Drake, coinvolgono i sistemi Android a partire dalla versione 2.2 (Froyo): tra il mese di aprile e il mese di maggio il ricercatore si è premurato di avvertire Google e di proporre delle patch che Mountain View ha implementato nel proprio codice nel giro di poche ore. Spetta però ai partner procedere alla distribuzione degli aggiornamenti, di cui ad oggi non è nota la tempistica. Anche Firefox e Firefox OS, che approfittano di una versione modificata della componente Stagefright, risultavano vulnerabili: Mozilla ha già provveduto (https://www.mozilla.org/en-US/security/known-vulnerabilities/firefox/#firefox38) a sistemare il problema. Lo stesso vale per il sistema operativo PrivatOS per Blackphone, sicuro a partire dalla versione 1.1.7.
Gaia Bottà
Fonte immagine: http://blog.zimperium.com/wp-content/uploads/2015/07/Cat.png
Fonte: Punto Informatico (http://punto-informatico.it/4260559/PI/News/crack-android-basta-un-numero-telefono.aspx)
Sei vulnerabilità affliggono tutte le versioni di Android a partire dalla 2.2, vale a dire 950 milioni di dispositivi: consentono ad un malintenzionato di prendere il controllo del terminale o di alcune sue funzioni
Roma - Non serve altro che il numero di telefono della vittima potenziale per condurre un attacco che permette in molti casi di prendere il completo controllo del dispositivo Android della vittima: in attesa della presentazione (https://www.blackhat.com/us-15/briefings.html#stagefright-scary-code-in-the-heart-of-android) in programma presso il Def Con nei prossimi giorni, Joshua Drake, ricercatore della security company Zimperium, ha tratteggiato (http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/) l'attacco come efficace per 950 milioni di device, il 95 per cento dei dispositivi Android in circolazione.
http://www.punto-informatico.it/punto/20150727/stagefright.jpg
Le sei vulnerabilità che rendono possibile il crack, spiega (http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/) Drake, risiedono nella componente Stagefright (http://source.android.com/devices/media.html), responsabile della gestione di diversi formati di file multimediali. Per sfruttare la paggiore di queste vulnerabilità basta indirizzare l'utente verso un video appositamente confezionato sul Web o inviarlo come messaggio.
Poiché la libreria si occupa di generare anteprime e di gestire i metadati dei file, a seconda delle applicazioni da cui il file è veicolato, non è necessario (http://www.pcworld.com/article/2953052/most-android-phones-can-be-hacked-with-a-simple-mms-message-or-multimedia-file.html#tk.rss_all) che l'utente lo apra, o addirittura che riceva una notifica di avvenuta ricezione. Se ad esempio per l'app Messenger per i Galaxy Nexus animati da Ice Cream Sandwich è indispensabile che la vittima visualizzi l'MMS, ha spiegato (http://www.forbes.com/sites/thomasbrewster/2015/07/27/android-text-attacks/) Drake a Forbes, procedendo con l'app di messaggistica Google Hangouts è possibile per l'attaccante prevenire la notifica e cancellare il file veicolo dell'attacco, prendendo il controllo del dispositivo senza che l'utente si accorga di alcunché.A seconda del dispositivo colpito, l'attaccante potrebbe guadagnare diversi privilegi: Drake stima che nel 50 per cento dei casi l'attacco può garantire un livello di accesso root al sistema, e quindi il completo controllo del dispositivo, mentre negli altri casi il malintenzionato potrebbe accedere a microfono, fotocamera e memoria esterna.
Le vulnerabilità, ha spiegato Drake, coinvolgono i sistemi Android a partire dalla versione 2.2 (Froyo): tra il mese di aprile e il mese di maggio il ricercatore si è premurato di avvertire Google e di proporre delle patch che Mountain View ha implementato nel proprio codice nel giro di poche ore. Spetta però ai partner procedere alla distribuzione degli aggiornamenti, di cui ad oggi non è nota la tempistica. Anche Firefox e Firefox OS, che approfittano di una versione modificata della componente Stagefright, risultavano vulnerabili: Mozilla ha già provveduto (https://www.mozilla.org/en-US/security/known-vulnerabilities/firefox/#firefox38) a sistemare il problema. Lo stesso vale per il sistema operativo PrivatOS per Blackphone, sicuro a partire dalla versione 1.1.7.
Gaia Bottà
Fonte immagine: http://blog.zimperium.com/wp-content/uploads/2015/07/Cat.png
Fonte: Punto Informatico (http://punto-informatico.it/4260559/PI/News/crack-android-basta-un-numero-telefono.aspx)