Stagefright-lek in Android

[Verwijderd]

Een beveiligingsprobleem in Android zorgt ervoor dat een kwaadwillende enkel iemands telefoonnummer hoeft te weten om in veel gevallen toegang te krijgen tot zijn systeem. Het is onduidelijk of er al een patch is voor het probleem.

Details over het beveiligingsprobleem ontbreken vooralsnog. Duidelijk is wel dat het gaat om een beveiligingsprobleem in het Stagefright-framework in Android, dat verantwoordelijk is voor het afspelen van filmpjes. Een aanvaller kan malware verstoppen in de video, dat wordt ingeladen zodra het filmpje wordt gestart. Daarbij krijgt een aanvaller vergaande bevoegdheden: zo kan hij de microfoon en de camera activeren of het scherm 'aftappen'.

Zoals velen van jullie op de frontpage gelezen zullen hebben, blijkt er een lek in Android te zitten waarmee het eenvoudig is kwaadaardige code op de telefoon uit te voeren en zo de boel over te nemen. De repercussies zijn niet mals; naar verluidt kunnen aanvallers de microfoons afluisteren, meekijken via de camera's, zien wat er op het beeldscherm gebeurt en meer - of alles eigenlijk. Aangezien de bug in een onder- en diepliggend deel van Android zit, zal het dichten van het lek zoals het er nu uitziet moeten gebeuren vanuit de fabrikant van de telefoon - iets wat in veel gevallen zelfs bij nieuwe telefoons niet zal gebeuren, als we de recente geschiedenis als leidraad nemen (zie o.a. het lek in de browser van enige tijd geleden).

Een officiële reactie van Google heb ik nog niet terug kunnen vinden, maar het is duidelijk dat dit een zaak met consequenties is - privé en zakelijk. Zelfs als je je niet snel zorgen maakt over je privacy en digitale veiligheid kan het financiële consequenties hebben als je bewust met een onveilige telefoon bankiert of andere zaken doet. De kans is aanwezig dat banken en verzekeringen de verantwoordelijkheid dan bij de eindgebruiker neerleggen. Over de extreem vervelende consequenties van identiteitsdiefstal is al genoeg gezegd en gedaan. Dat zoiets op zakelijk vlak qua juridische en morele aansprakelijkheid onacceptabel is lijkt me ook zonder uitleg duidelijk.

De vraag is nu hoe deze zaak zich gaat afwikkelen. Loopt het met een sisser af, zorgt Google op één of andere manier voor een patch die makkelijk breed uit te rollen is? Nemen fabrikanten nu toch eens hun verantwoordelijkheid, of is iedereen die het zekere voor het onzekere wil nemen gedwongen een hardware-upgrade te doen en dus hun apparaat van honderden euro's af te schrijven met de mogelijkheid dat het zomaar nog eens gebeurt?

Over de redenen van Google en interne opzet van Android valt een enorme boom op te zetten, maar dit topic is ook vooral bedoeld voor de praktische consequenties en repercussies. Hoe gaan mensen privé en zakelijk om met misschien wel het grootste lek in Android ooit?


De stand van zaken voor zover nu bekend:

- Het lek zit in het Stagefright-deel van Android. Hoewel een andere app for sms gebruiken het risico kan beperken, zit het probleem dieper en lost het dan ook het probleem niet op. Overal waar video's zelfs maar ingeladen worden loop je in potentie een risico op vergaande besmetting van je systeem.
- Alle versies van Android (dus tot en met 5.1) lijken kwetsbaar te zijn.


Wat kan je doen?

Zoals hierboven al te lezen is zit het probleem diep en is een andere app gebruiken of wat instellingen wijzigen niet genoeg om het probleem op te lossen. Je kunt de risico's van het benaderd worden door willekeurige berichten wel zoveel mogelijk beperken:

- Gebruik geen Google Hangouts meer, maar de standaard Android-app of een andere app die geen berichten pre-loadt en stel de app ook in om niets in te laden.
- Verander en verwijder je MMS(C)-instellingen zoals te lezen is in dit bericht.
- Vermijd videos zoveel mogelijk en probeer eventueel Stagefright te saboteren.
- Blokkeer berichten van onbekende nummers.
- Gebruik Firefox browser op je telefoon.


LET OP: dit zijn geen oplossingen, hooguit maatregelen die het risico wat kleiner maken. Totdat er een echte oplossing is iedere ongepatchte telefoon een veiligheidsrisico. Wees voorzichtig met alle privacykritische zaken (denk aan privé en zakelijke mail, bankzaken, privéfoto's, contactgegevens et cetera) of gebruik die liever helemaal niet meer.

[ Voor 20% gewijzigd door Verwijderd op 29-07-2015 03:15 ]

[Momus]

Volgens RTL is het al opgelost in de laatste Android versie.

http://www.rtlnieuws.nl/n...efoon-pas-op-voor-hackers

[Verwijderd]

Momus schreef op maandag 27 juli 2015 @ 22:26:
Volgens RTL is het al opgelost in de laatste Android versie.

http://www.rtlnieuws.nl/n...efoon-pas-op-voor-hackers

Dat blijkt vooralsnog voor een praktisch verwaarloosbaar deel van de telefoons en gebruikers te gelden. Een voorzichtig begin dus, maar geen oplossing.

[Verwijderd]

Eigenlijk de enige optie is je android-telefoon van de hand te doen/ in de la te leggen tot je de laatste Update van android hebt.
Zeker als je telefoon ook toegang heeft tot persoonlijke gegevens, of zakelijke informatie is het even niet gebruiken als je een oudere Android hebt nu belangrijk.

Ik zit te denken hoe je op een oude droid ook maatregelen kan nemen om het risico kleiner te maken

• Zet MMS uit/ verwijder de MMS instellingen.
• Ga niet naar sites met online filmpjes
• Probeer via root het Stagefright-framework te saboteren, zodat filmpjes niet meer geopend worden.*

**

door het build.prop delen van stagefright uit te schakelen.
Property

code:

media.stagefright.enable-player=true
media.stagefright.enable-meta=true
media.stagefright.enable-scan=true
media.stagefright.enable-http=true
media.stagefright.enable-rtsp=true
media.stagefright.enable-record=true

[ Voor 21% gewijzigd door Verwijderd op 28-07-2015 00:27 . Reden: bronnetje ]

[Moi_in_actie]

Verwijderd schreef op maandag 27 juli 2015 @ 22:17:
[...]

Een officiële reactie van Google heb ik nog niet terug kunnen vinden, maar het is duidelijk dat dit een zaak met consequenties is - privé en zakelijk.

Hoe officieel deze reactie is weet ik niet, maar hij staat in ieder geval als update in het originele artikel npr.org:

Updated 5:17 p.m. ET July 27: Google Issues Statement

After this story aired, Google said: "We thank Joshua Drake for his contributions. The security of Android users is extremely important to us and so we responded quickly and patches have already been provided to partners that can be applied to any device.

"Most Android devices, including all newer devices, have multiple technologies that are designed to make exploitation more difficult. Android devices also include an application sandbox designed to protect user data and other applications on the device."

...waarna HTC ook bevestigd:

HTC: "Google informed HTC of the issue and provided the necessary patches, which HTC began rolling into projects in early July. All projects going forward contain the required fix."

Mocht je recentelijk van jouw fabrikant een update hebben gekregen, dan is de kans redelijk dat de fix hier al in zat.

Mijn eigen telefoon, een Sony Xperia Z2, heeft begin mei een laatste update gehad naar Android 5.0.2. Ik gok dat de fix hier nog niet in zat, tenzij het probleem zich in die versie al niet meer voordeed. Gelukkig is uitrol van Android 5.1.1 (laatste nieuwe versie) begonnen en zal ik die in de loop van deze week welk binnen krijgen. Daarbij gebruikte ik Hangouts al nooit (app is disabled) en SMSjes krijg ik zo goed als niet, hooguit de 2-step verification van Google zelf.

Wat ik nog wel interessant vind aan dat artikel van npr.org is dat Google deze bug een impact met de schaal "high" geeft. Volgens hun chart zou dit betekenen dat:
- men op afstand (remote) code kan uitvoeren met rechten die normale apps ook kunnen verwerven (toegang tot jouw media, camera, contacten etc.)
- men alleen lokaal (met tussenkomst van de gebruiker) toegang kan krijgen tot system level permissions

Als ik dat goed begrijp (en a.u.b. corrigeer me als ik verkeerd zit) betekent dit dat mocht zo'n attack al plaatsvinden, de hackers wel aan generieke/algemene gegevens kan komen (en functionaliteiten van de telefoon kan aanspreken), maar b.v. niet die van binnen andere apps (b.v. een pincode van een bankieren app). Dit zou alleen kunnen als de gebruiker hier zelf toestemming voor geeft en/of zelf fysiek een hack uitvoert. Wat en tot in hoeverre men dus op afstand iets zou kunnen uitvoeren/achterhalen is mij niet helemaal duidelijk. Als een hacker jouw foto's en contacten kan uitlezen is dat natuurlijk erg rot, maar lang niet zo erg als wanneer men jouw bankieren app overneemt en ze via daar geld wegsluizen.

Naja, voorlopig maar even extra voorzichtig zijn met het bezoeken van websites, geen SMSjes openen die je niet kent en wachten op een snelle update.

[Verwijderd]

Vooral als je ook zakelijk belangrijke gegevens op je telefoon hebt is dit rot.

Voor mensen die de dreiging serieus nemen en snel een oplossing willen, maar nog geen droid 5.1 hebben.

Je kan er misschien voor kiezen tijdelijk een extra veilige telefoon naast te nemen.

[pricewatch selectie veilige telefoons]
selectie op:

• Windows phone 8.1
• Blackberry os 10.3
• Ios 8
• Android 5.1

In elke prijsklasse (vanaf €50) is wel 'iets' te vinden. Wat je deze dagen er doorheen kan slepen. Sowieso als je fabrikant 3 maanden naar dato nog steeds niet Android 5.1 geleverd heeft zou ik blijven nadenken, of je wel echt bij die fabrikant wilt blijven. Updates brengen niet alleen veiligheid ook functionaliteit.

[ Voor 21% gewijzigd door Verwijderd op 28-07-2015 00:42 ]

[Verwijderd]

Moi_in_actie schreef op dinsdag 28 juli 2015 @ 00:23:
Mocht je recentelijk van jouw fabrikant een update hebben gekregen, dan is de kans redelijk dat de fix hier al in zat.

Mijn eigen telefoon, een Sony Xperia Z2, heeft begin mei een laatste update gehad naar Android 5.0.2. Ik gok dat de fix hier nog niet in zat, tenzij het probleem zich in die versie al niet meer voordeed. Gelukkig is uitrol van Android 5.1.1 (laatste nieuwe versie) begonnen en zal ik die in de loop van deze week welk binnen krijgen. Daarbij gebruikte ik Hangouts al nooit (app is disabled) en SMSjes krijg ik zo goed als niet, hooguit de 2-step verification van Google zelf.

Mij lijkt het grootste probleem dat veel apparaten lang op deze updates moeten wachten of simpelweg nooit gaan krijgen. De fabrikant van mijn telefoon van releasedatum november 2014 toont bijvoorbeeld zeer weinig interesse nieuwe updates uit te brengen. Uiteraard valt te beargumenteren dat die fout bij de fabrikant ligt (of zelfs bij mijn keuze), maar puntje bij paaltje ziet het er nu naar uit dat veel apparaten nooit een update zullen krijgen, waaronder een bups nieuwere en courante toestellen. Dat is de realiteit waar Google mee te maken heeft op het moment. Als daar linksom of rechtsom niets aan gedaan wordt of kan worden maakt dat Android een stuk minder interessant - er zijn immers geen garanties dat een nieuwe, voor dit lek veilige telefoon later geen andere problemen blijkt te hebben. Of Google daar juridisch aansprakelijk voor is is een lange en complexe discussie, maar men heeft in dit resultaat uiteraard wel degelijk een stevige hand gehad. Ik hoop dan ook dat het uitbrengen van een patch en vertrouwen op de voortvarendheid van de fabrikanten niet de hele strategie behelst, want dat gaat voor veel mensen niet werken.

Nog even los van dat weken of maanden op een update wachten voor de meeste gebruikers totaal niet haalbaar is - dat betekent doorgaans simpelweg overgaan op een andere telefoon. Zonder garanties zou ik in ieder geval niet teruggaan naar Android, maar mijn heil simpelweg elders gaan zoeken.

Wat ik nog wel interessant vind aan dat artikel van npr.org is dat Google deze bug een impact met de schaal "high" geeft. Volgens hun chart zou dit betekenen dat:
- men op afstand (remote) code kan uitvoeren met rechten die normale apps ook kunnen verwerven (toegang tot jouw media, camera, contacten etc.)
- men alleen lokaal (met tussenkomst van de gebruiker) toegang kan krijgen tot system level permissions

Als ik dat goed begrijp (en a.u.b. corrigeer me als ik verkeerd zit) betekent dit dat mocht zo'n attack al plaatsvinden, de hackers wel aan generieke/algemene gegevens kan komen (en functionaliteiten van de telefoon kan aanspreken), maar b.v. niet die van binnen andere apps (b.v. een pincode van een bankieren app). Dit zou alleen kunnen als de gebruiker hier zelf toestemming voor geeft en/of zelf fysiek een hack uitvoert. Wat en tot in hoeverre men dus op afstand iets zou kunnen uitvoeren/achterhalen is mij niet helemaal duidelijk. Als een hacker jouw foto's en contacten kan uitlezen is dat natuurlijk erg rot, maar lang niet zo erg als wanneer men jouw bankieren app overneemt en ze via daar geld wegsluizen.

Dat is een interessante constatering, dat lijkt te betekenen dat met de exploit dus geen root-achtige toegang verkregen kan worden. Desalniettemin lijkt kunnen meekijken en -luisteren me bijzonder gevaarlijk en nadelig. Ik denk dan aan privé- of zakelijke gesprekken, maar ook aan wachtwoorden en codes die ingevoerd worden op je telefoon of andere apparaten in de buurt.

Naja, voorlopig maar even extra voorzichtig zijn met het bezoeken van websites, geen SMSjes openen die je niet kent en wachten op een snelle update.

Voor zover ik begrijp is smsjes openen niet nodig en komt daar dus ook een deel van het gevaar vandaan - de boel kan al besmet zijn voordat er ooit enige interactie met de gebruiker plaatsvindt. Je stopt je telefoon in je broekzak als er niets aan de hand is en de volgende keer dat je hem pakt is hij besmet met malware.

[Verwijderd]

online adverteerder, maker van android, en het framework, Google heeft gereageerd:

“The security of Android users is extremely important to us and so we responded quickly and patches have already been provided to partners that can be applied to any device. Most Android devices, including all newer devices, have multiple technologies that are designed to make exploitation more difficult. Android devices also include an application sandbox designed to protect user data and other applications on the device.”

Bron: Venture beat: Researchers find vulnerability that affects 95% of Android devices

[Verwijderd]

De quote is wat je verwacht van een eerste reactie van een bedrijf, maar lijkt helaas echte inhoud of urgentie te ontberen. We wachten een inhoudelijke respons af.

Iets dat me te binnen schoot: zouden oudere (maar niet te oude) versies van Android (zeg, 4.3 of 4.4) te patchen zijn met de oplossing voor dit probleem? Sommige telefoons zijn lastig of niet te updaten naar een recente smaak Android, maar vaker zijn er wel oudere ROMs beschikbaar. Als die te updaten zijn met alleen deze patches is het probleem misschien al een stukje kleiner dan eerst.

[Wim-Bart]

Verwijderd schreef op dinsdag 28 juli 2015 @ 00:53:
online adverteerder, maker van android, en het framework, Google heeft gereageerd:


“The security of Android users is extremely important to us and so we responded quickly and patches have already been provided to partners that can be applied to any device. Most Android devices, including all newer devices, have multiple technologies that are designed to make exploitation more difficult. Android devices also include an application sandbox designed to protect user data and other applications on the device.”

Bron: Venture beat: Researchers find vulnerability that affects 95% of Android devices

Moeilijker maar niet onmogelijk. Als ik het lees komt het er op neer dat je met Android gewoon de pineut bent, zeker als er geen update vanuit je fabrikant komt. Een reden om in zakelijke omgevingen gewoon geen Android meer toe te staan.

[ Voor 3% gewijzigd door Wim-Bart op 28-07-2015 02:15 ]

[Mrjraider]

Mijn Sony Xperia SP draait op 4.3 updates hoef ik niet meer te verwachten maar dit is toch wel zorgelijk.

[Verwijderd]

Wim-Bart schreef op dinsdag 28 juli 2015 @ 02:15:
Als ik het lees komt het er op neer dat je met Android gewoon de pineut bent, zeker als er geen update vanuit je fabrikant komt. Een reden om in zakelijke omgevingen gewoon geen Android meer toe te staan.

Daar ben ik inderdaad ook bang voor. Nu is het even makkelijk om iedereen het zelf maar uit te laten zoeken en zo de verantwoordelijkheid elders te leggen (wij hebben een update uitgebracht, doei!), maar ik ga ervan uit dat IT-afdelingen deze affaire met grote interesse volgen. Mocht dit niet opgelost worden voordat het probleem daadwerkelijk geëxploiteerd wordt heeft dat in mijn ogen vanzelfsprekend repercussies voor het toekomstige inkoop- en beheerbeleid van ieder zichzelf serieus nemend bedrijf.

Ik geloof dat we maar even tot volgende week moeten wachten om te zien in hoeverre dit clickbait en FUD blijkt te zijn.

[Robkazoe]

In het Tweakers artikel staat nu ook bij dat:

Update, 13:36: In dit stuk stond aanvankelijk dat de nieuwste Android-versie, 5.1.1, niet kwetsbaar zou zijn. Dat is echter wel zo.

Dus dat de laatst bijgewerkte versie van Google Android hier niet tegen bestand is, dan is dus niemand veilig op dit moment. Of zouden ze het over 5.2 hebben? Maar die is nog in developement volgens mij dus dat lijkt mij heel sterk.

Heb zelf heel erg het idee dat Google het eigenlijk ook niet weet. Maar vind het zelf nogal schandelijk dat ze er redelijk gemakzuchtig mee naar buiten komen. En al was het wel in 5.1.1 opgelost, door de huidige manier van updates (lees: de fabrikant is verantwoordelijk) lopen 100M+ toestellen het risico gepakt te worden omdat maar een handje vol toestellen echt helemaal bij zijn met Android. En dan kan het wel zo zijn dat het de fabrikant verantwoordelijk is, als dit naar buiten komt doet dit ook reputatieschade aan Google/Android.

[ByteMe_]

Dan was ik al huiverig voor gebruik van o.a. bankieren op de telefoon, maar nu hou ik dat helemaal voor gezien.

Ik heb nooit vanuit de fabrikant (Huawei) updates gehad (Android 4.0.4) en vraag mij ten zeerste af of die er sowieso gaan komen.

Ik heb altijd alles 'veilig' staan, behalve dingen als Gmail (alszijnde ik heb de app met dus makkelijk toegang tot alle mails), ook dat is in feite dus in gevaar. Ik ben geen zware internet gebruiker op de mobiel, voor hetzelfde gemak zet ik WiFi voor internet uit.

[Verwijderd]

Ik ben benieuwd hoe Xiaomi hierop reageert, ik heb namelijk twee telefoons van ze. De laatste keer dat er een probleem was ( toen er ongevraagd data naar Chinese servers werd gestuurd als onderdeel van de cloudservices) hadden ze dezelfde dag een patch eruit die dat oploste.

Wat dit interessanter maakt is dat Xiaomi geen gebruik maakt van Google services en dus hun eigen framework op stock Android bouwt. Daarbij draait mijn Mi2s nog MIUI V5, wat op Android 4.2.1 gebaseerd is ( alhoewel MIUI 6 voor de Mi2s gebaseerd is op 4.4.) Ik ben dus benieuwd of ik nu wel of niet kwetsbaar ben en of en hoe snel de oplossing eraan komt. Bankieren deed ik gelukkig sowieso al niet op de telefoon.

Aan de andere kant, hebben we al gevallen gezien waarin dit lek ook daadwerkelijk misbruikt werd? Ik kan me niet voorstellen dat bedrijven en partijen als Hacking Team, de CIA, de NSA, de AIVD en consorten dit lek nog niet ontdekt hebben. Mijn vraag zou dus zijn of dit al in de praktijk gebruikt is en zo ja, of de gebruiker dat dan kan merken.

[Robkazoe]

MIUI6 is tegenwoordig over naar Android 5.0.2 volgens mij. Maar dan nog ben ik benieuwd hoe Google het gaat oplossen. Je kunt wel een Android 5.1.2 gaan uitbrengen, maar dan nog loopt 95 tot 99% van alle toestellen achter. En als alle fabrikanten het zelf moeten gaan oplossen, komt er helemaal niets van.

[Verwijderd]

Robkazoe schreef op dinsdag 28 juli 2015 @ 14:08:
MIUI6 is tegenwoordig over naar Android 5.0.2 volgens mij. Maar dan nog ben ik benieuwd hoe Google het gaat oplossen. Je kunt wel een Android 5.1.2 gaan uitbrengen, maar dan nog loopt 95 tot 99% van alle toestellen achter. En als alle fabrikanten het zelf moeten gaan oplossen, komt er helemaal niets van.

Klopt, alleen de versie van MIUI6 voor de Mi2s dacht ik niet, volgens mij is die gebaseerd op 4.4. Die voor de Mi4 en de Note wel. Maar als ik het goed begrijp is de hamvraag of je telefoon het bericht automatisch doorstuurt naar het Stagefright-framework of dat dat pas gebeurt wanneer je de video afspeelt?

[iTeV]

Wat ik me afvraag: kan een kwaadaardige gebruiker deze lek misbruiken dmv een (.3gp)filmpje te sturen via WhatsApp?

[TheRicolaa10]

Dit is ook een goede manier om te voorkomen dat je "gehackt" word via MMS:

http://android.stackexcha...e-issue-wit/116493#116493

[ASW1]

En hangouts disablen wanneer je dat toch al niet gebruikt?
Wanneer je dan geen vreemde smsjes opent zou je safe moeten zijn?

[Robkazoe]

Dan zul je geen video's online moeten bekijken, want anders kun je alsnog gepakt worden. Daarnaast kunnen chatapps ook video's ontvangen en je potentieel infecteren.

[O88088]

Zoals altijd ben ik vooral benieuwd in hoeverre dit lek gewone gebruikers treft. Allemaal goed en wel dat het mogelijk is, maar gaat het ook gebruikt worden? En op welke manier dan?

[MarcoC]

Ronald8 schreef op dinsdag 28 juli 2015 @ 15:55:
Zoals altijd ben ik vooral benieuwd in hoeverre dit lek gewone gebruikers treft. Allemaal goed en wel dat het mogelijk is, maar gaat het ook gebruikt worden? En op welke manier dan?

Zoals ik het begrijp kan elke video schadelijk zijn. In hoeverre de malware daadwerkelijk kwaad kan doen hangt af van de Android-versie die je hebt.

[tweakerjunior]

Damn ik heb een toetsel met 4.2.2 dat meer dan 3 jaar oud is ( HTC One X). Ik kan wel fluiten naar een update ...


Is het niet mogelijk om video's op een andere manier af te spelen via chrome? MMS kan je gelukkig uitzetten en Hangouts verwijderen of deactiveren.

[ Voor 39% gewijzigd door tweakerjunior op 28-07-2015 16:45 ]

[Robkazoe]

Volgens mij, maar pin mij er niet aan vast, ligt dit dieper met welke app jij een video afspeelt.

[Soldaatje]

Ik vermoed dat er wel een app zal komen die deze hack/malware kan ontdekken en zo vroegtijdig kan tegenhouden?
Zo ja, dan zou die app misschien naar alle toestellen gepusht moeten worden.

[Wim-Bart]

Ronald8 schreef op dinsdag 28 juli 2015 @ 15:55:
Zoals altijd ben ik vooral benieuwd in hoeverre dit lek gewone gebruikers treft. Allemaal goed en wel dat het mogelijk is, maar gaat het ook gebruikt worden? En op welke manier dan?

Gewone gebruikers zijn niet zo interessant het zijn meer de high-profile users die interessant zijn, zoals directeuren, hun staf, politici en iedereen die maar gevoelige cq. Belangrijke informatie op de telefoon heeft. Voor terroristen en criminelen ook interessant om persoonlijke data van telefoons te halen, adressen, telefoonnummers, et cetera van collega's. Ook bankgevens zijn interessant, moet je eens voorstellen, iemand captured je imei/nummer en bank app instellingen en leest je pin uit door deze te onderscheppen..... Hoppa geld is verdwenen.

Komt er gewoon op neer dat wanneer je geen update naar android 5.2 krijgt, je eigenlijk net zo goed geen pin op je foon hoeft te hebben...

Geen update naar Android 5.2 dan telefoon wegdoen en niet meer aanraken.

[svenvbins]

De vraag is hierboven al gesteld maar nog niet beantwoord, dus even voor de extra exposure omdat ik dit ook erg graag hoor:

Ben je "veilig" zolang je geen videos bekijkt en geen malafide smsjes/hangout berichten hebt ontvangen?
In dat geval zou ik m'n telefoon in ieder geval nog gebruiken totdat ik weet dat ik de sjaak ben.

Ook ik heb een 2-3 jaar oude Huawei met geen kans op updates... (Android 4.0.4)

[j1nx]

Je kunt je MMS APN eruit gooien en hangouts disablen. Dat beschermt je tegen de aanval via je 06 nummer. Echter ben je nog steeds kwetsbaar als je online gaat via browser whatsup evt email etc.

Maar ja, als je dat ook gaat vermijden, dan haal je al je "smart" eraf en gebruik je hem alleen nog maar voor bellen en sms.

Dan kun je hem beter in de la leggen en je oude nokia 1610 gebruiken. Hoef je ook maar 2 keer per maand op te laden.

[Verwijderd]

Ik heb de TS inmiddels geupdate met de nieuwste inzichten en manieren om de risico's zoveel mogelijk in te perken totdat er een echte oplossing is. Eventuele nieuwe toevoegingen of verbeteringen zijn welkom

Robkazoe schreef op dinsdag 28 juli 2015 @ 13:51:
Heb zelf heel erg het idee dat Google het eigenlijk ook niet weet. Maar vind het zelf nogal schandelijk dat ze er redelijk gemakzuchtig mee naar buiten komen. En al was het wel in 5.1.1 opgelost, door de huidige manier van updates (lees: de fabrikant is verantwoordelijk) lopen 100M+ toestellen het risico gepakt te worden omdat maar een handje vol toestellen echt helemaal bij zijn met Android. En dan kan het wel zo zijn dat het de fabrikant verantwoordelijk is, als dit naar buiten komt doet dit ook reputatieschade aan Google/Android.

De reactie duidt wat mij betreft op desinteresse of juist totaal geen idee hebben wat men hier nou mee moet. Of men blijft kalm omdat er een prachtige oplossing klaarstaat, natuurlijk, als we even de optimistische insteek hanteren

We zullen de details even af moeten wachten, maar als dit inderdaad de impact heeft die het nu lijkt te hebben dan kan dit wel eens voor Android zijn wat toentertijd de storing bij Blackberry was. Men wordt opeens massaal met de neus op de feiten gedrukt wat betreft de kwetsbaarheden en hoewel consumenten daar misschien nog lichtzinnig over kunnen denken, zullen zakelijke gebruikers waarschijnlijk minder coulant zijn. Men zal toch met een betere oplossing moeten komen dan wacht een update af of koop een nieuwe telefoon.

Zelfs als de schade niet onmiddellijk zichtbaar is, wordt die natuurlijk exponentieel groter als er daarna daadwerkelijke pikante foto's of gevoelige gegevens op straat komen te liggen. Microsoft of Apple zouden wel eens garen kunnen spinnen.

Ronald8 schreef op dinsdag 28 juli 2015 @ 15:55:
Zoals altijd ben ik vooral benieuwd in hoeverre dit lek gewone gebruikers treft. Allemaal goed en wel dat het mogelijk is, maar gaat het ook gebruikt worden? En op welke manier dan?

Dat is een goede vraag. Vooralsnog lijkt het probleem theoretisch te zijn, al hebben Hacking Team en NSA-achtige organisaties het spul misschien al wel in gebruik. Je kunt er echter vanuit gaan dat criminele organisaties inmiddels naarstig op zoek zijn naar manieren om dit lek te misbruiken voor hun doeleinden en het liefste voordat iemand een kans heeft gehad om de boel te patchen. Dat is precies de reden dat Adobe halsoverkop een patch uitbracht na de Hacking Team-lekken - met bekende kwetsbaarheden is het doorgaans een kwestie van (weinig) tijd.

Wim-Bart schreef op dinsdag 28 juli 2015 @ 20:14:
Gewone gebruikers zijn niet zo interessant het zijn meer de high-profile users die interessant zijn, zoals [...]

Was het niet Snowden die zei dat iedereen, maar dan ook iedereen interessante data heeft? Mensen onderschatten op welke manieren ze aantrekkelijk kunnen zijn voor dubieuze sujetten, om nog maar te zwijgen van de gigantische impact van identiteitsdiefstal (ook nog eens zonder duidelijke sporen).

[Verwijderd]

Internet uitschakelen, ook een optie. Ben je wel gewoon bereikbaar maar zal een verstuurde exploit weinig zin hebben zonder internet.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 01:15:
Internet uitschakelen, ook een optie. Ben je wel gewoon bereikbaar maar zal een verstuurde exploit weinig zin hebben zonder internet.

Alleen je internet uitzetten lijkt me niet genoeg, gezien de code in een MMS-bericht kan staan (geloof ik, dat is me niet helemaal duidelijk). Al is een smartphone zonder internet natuurlijk gewoon een zeer belabberde telefoon, dan kan je inderdaad beter terug naar een simpele Nokia.

Zonder internet kan je op zich nog steeds data verschepen, of zelfs het internet op afstand aanzetten.

[ Voor 9% gewijzigd door Verwijderd op 29-07-2015 01:19 ]

[RickvB]

Ik las dat Cyanogen de patch al heeft uitgebracht voor CM12/12.1.

Dan maar allemaal rooten en cyanogenmod erop zetten?
Voordat een fabrikant zoals Samsung zoiets heeft uitgebracht zijn we 5 maanden verder...

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 01:19:
[...]


Zonder internet kan je op zich nog steeds data verschepen, of zelfs het internet op afstand aanzetten.

MMS = data. Uitschakelen van data op je telefoon zorgt dat ie geen MMS meer kan downloaden.

MMS iPhone 3G and later 3.1 and later Cellular data

Cellular data... = internet.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 01:28:
MMS = data. Uitschakelen van data op je telefoon zorgt dat ie geen MMS meer kan downloaden.

Over het uitschakelen van welke data op welke manier heb je het dan precies? Die details lijken toch wel kritisch te zijn in dit geval.

Als ik het internet mag geloven is data over (mobiel) internet en MMS niet noodzakelijk hetzelfde, al valt dat in de praktijk wel steeds vaker zo uit. Als jij je WIFI en normale mobiele data uitschakelt zou je dus nog best weleens kwetsbaar kunnen zijn voor een MMS-aanval. Data zou je dan als aanvaller eventueel weg kunnen schepen met al dan niet verdekte SMS'jes of andere trucs. Ook weet niet of een 'non-data' MMS-header met slechte code verstuurd wordt voor een filmpje uit, of dat de kwaadaardige code echt in een videobericht zelf zit. Het lijkt er niet op dat videos ook daadwerkelijk bekeken hoeven te worden om problemen op te leveren.

Ik laat me overigens graag aanvullen of verbeteren

[Verwijderd]

http://androidforums.com/...for-mms-messaging.333295/

SMS gaat traditioneel over 2G / 3G. MMS is echt een data vereiste middel om (multimedia) berichten mee te ontvangen. Dus als je data in z'n geheel uit zou zetten, inclusief wireless, dan kan je gewoon geen video's meer ontvangen en daarmee ook niet kwetsbaar bent.

Heb je een mobiel met prepaid, zonder databundel, dan kan dat al niet eens meer. Heb je een mobiel met databundel, dan is dat wel mogelijk. Maar zodra je data compleet uitzet dan kan je gewoon niets meer ontvangen op SMS na

[Verwijderd]

Als ik de release van de ontdekker goed interpreteer is 'Firefox', wat ik dan maar opvat als de Android Firefox browser, ook niet vatbaar voor deze kwetsbaarheid. Dat zou betekenen dat je samen met de juiste MMS-instellingen al een beetje beschermd zou moeten zijn.

Verwijderd schreef op woensdag 29 juli 2015 @ 02:05:
http://androidforums.com/...for-mms-messaging.333295/

SMS gaat traditioneel over 2G / 3G. MMS is echt een data vereiste middel om (multimedia) berichten mee te ontvangen.

MMS was al mogelijk in de tijd voor databundels, zoals ook bleek uit de door mij geposte link. Telefoons konden al lang geleden MMS-berichten versturen en ontvangen onder andere via WAP. Tegenwoordig wordt het inhoudelijke MMS-bericht doorgaans over 'gewone' datakanalen gestuurd, wat betekent dat mobiele data bij veel telefoons nodig is voor het ontvangen van MMS, maar dit lijkt te verschillen per telefoon of aanbieder. In veel gevallen moet alle data uitschakelen helpen, maar of het alle Android-telefoons immuun maakt valt stevig te betwijfelen, te meer omdat sommige telefoons zelf data tijdelijk inschakelen om de boel binnen te kunnen halen en omdat WAP-data ook nog een rol blijkt te spelen.

Los daarvan, nogmaals, het is onduidelijk of je via het normale netwerk niet alvast een MMS (of eigenlijk, de 'header' daarvan) binnenkrijgt, waar een payload in zou kunnen zitten. Als ik de technische omschrijving op Wikipedia mag geloven en naar dit artikel kijk worden daadwerkelijke filmpjes voorafgegaan door control messages. De vraag is dan ook of de kwaadaardige code daarin al verpakt zit, of dat die later met het filmbestand zelf wordt meegestuurd, maar duidelijk is dat er dus ook zonder echte dataverbinding al de nodige communicatie plaatsvindt voordat een filmpje ingeladen wordt. Voor zover ik nu kan nagaan zit de kwaadaardige payload pas echt in het mediabestand zelf, maar IANAME.

[ Voor 6% gewijzigd door Verwijderd op 29-07-2015 03:14 ]

[Verwijderd]

Wap is gewoon inbellen zoals we dat vroeger met een 56k6 modem deden, maar dan over GSM

Het was retetraag, en wanneer jij in een moderne smartphone data uitzet dan zet het niet een datakanaal over WAP open.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 03:17:
Wap is gewoon inbellen zoals we dat vroeger met een 56k6 modem deden, maar dan over GSM

Het was retetraag, en wanneer jij in een moderne smartphone data uitzet dan zet het niet een datakanaal over WAP open.

We zullen gewoon even de presentatie komende week afwachten Ik heb de blogpost van de ontdekker meermalen herlezen en wat er staat kan je op verschillende manieren opvatten en verschilt waarschijnlijk ook nog per telefoon en aanbieder. Zien hoe de aanval precies opgezet wordt en werkt zal om meerdere redenen bijzonder interessant zijn

[Verwijderd]

Verwijderd schreef op dinsdag 28 juli 2015 @ 14:05:
Ik ben benieuwd hoe Xiaomi hierop reageert, ik heb namelijk twee telefoons van ze. De laatste keer dat er een probleem was ( toen er ongevraagd data naar Chinese servers werd gestuurd als onderdeel van de cloudservices) hadden ze dezelfde dag een patch eruit die dat oploste.


Aan de andere kant, hebben we al gevallen gezien waarin dit lek ook daadwerkelijk misbruikt werd? [..]

Ik denk dat hackers die deze exploit gebruiken ook hun best doen om onzichtbaar te blijven.

De exploit zit niet in google's play-services. Maar in een onderdeel van android zelf, stagefright is onderdeel van de source van android zelf. https://source.android.com/devices/media.html

Google heeft al gezegd de oplossing zéér snel, of al geleverd te hebben voor fabrikanten. Dus als een fabrikant zeer frequent patched is er geen reden dit gapende security gat open te laten staan.

Ik heb begrepen dat je naast gebruiker van het topspul van xiaomi ook trotse eigenaar bent van een z10. Dat is een van de weinige toestellen met een Android runtime (eentje die qua veiligheid ook nog wat meer dichtgetimmerd is dan een gewone runtime) die helemaal niet geraakt wordt door deze bug doordat die gebruik maakt van qnx. Wellicht kun je tot xiaomi de boel patched die gebruiken? De organisaties waar je bang voor bent doen het ook allemaal en dus niet zonder reden, de onderzoeker heeft deze bug al een half jaar geleden ontdekt

[ Voor 3% gewijzigd door Verwijderd op 29-07-2015 08:36 ]

[Robkazoe]

Google heeft al gezegd de oplossing zéér snel, of al geleverd te hebben voor fabrikanten. Dus als een fabrikant zeer frequent patched is er geen reden dit gapende security gat open te laten staan.

Maar hier zit dus het grootste manco in. Fabrikanten die niets/traag/amper iets doen en Google die het allemaal wel best vindt.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 08:34:
[...]

Ik denk dat hackers die deze exploit gebruiken ook hun best doen om onzichtbaar te blijven.

De exploit zit niet in google's play-services. Maar in een onderdeel van android zelf, stagefright is onderdeel van de source van android zelf. https://source.android.com/devices/media.html

Klopt, maar aangezien ik dus ook geen Hangouts-app heb is het nog niet zeker of mijn telefoon er ook kwetsbaar voor is.

Google heeft al gezegd de oplossing zéér snel, of al geleverd te hebben voor fabrikanten. Dus als een fabrikant zeer frequent patched is er geen reden dit gapende security gat open te laten staan.

Zeer zeker niet! Maar goed, gezien de eerdere ervaringen ga ik evan uit dat de update snel komt.

Ik heb begrepen dat je naast gebruiker van het topspul van xiaomi ook trotse eigenaar bent van een z10. Dat is een van de weinige toestellen met een Android runtime (eentje die qua veiligheid ook nog wat meer dichtgetimmerd is dan een gewone runtime) die helemaal niet geraakt wordt door deze bug doordat die gebruik maakt van qnx. Wellicht kun je tot xiaomi de boel patched die gebruiken? De organisaties waar je bang voor bent doen het ook allemaal en dus niet zonder reden, de onderzoeker heeft deze bug al een half jaar geleden ontdekt

Nah, die Z10 is alweer een tijdje weg Ik vond hem veel te traag en niet erg gebruiksvriendelijk. Overigens heb ik het probleem voor nu opgelost door de APN voor MMS'jes te verwijderen. Ik kan nu dus geen MMS meer ontvangen ( want wie gebruikt dat nou?) en ben er dus ook niet meer vatbaar voor

[j1nx]

Verwijderd schreef op woensdag 29 juli 2015 @ 11:38:

Klopt, maar aangezien ik dus ook geen Hangouts-app heb is het nog niet zeker of mijn telefoon er ook kwetsbaar voor is.

- Gebruik je Facebook? En zo ja, speel je daar wel eens de filmpjes af die jan en alleman erop gooien?
- Gebruik je Whatsapp? En zo ja, sturen je vrienden je wel eens grappige zooi?
- Twitter je? En zo ja, bekijk je wel eens de gelinkte fimpljes en zo?
- Wel eens op youtube?
- Browse je wel eens op internet op je telefoon?

Doe je een van bovenstaande dingen met je Android smart phone, dan JA! je bent kwetsbaar. Er is wel een aktie van jezelf nodig, je moet namelijk een filmpje bekijken of advertentie of website bezoeken, maar JA.

De MMS/Hangout start automatisch filmpjes, dus via die weg ben je kwetsbaar zonder dat je het door hebt. Terwijl je naar huis rijd en je telefoon in je zak zit, kan iemand een MMS sturen naar je en zonder ook maar enige aktie van jou ben je besmet.

De andere vragen je om je smart telefoon te gebruiken alvorens je besmet kan raken, maar als je alle smart dingen weg laat / uitzet dan pas ben je niet kwestbaar.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 11:38:
Nah, die Z10 is alweer een tijdje weg Ik vond hem veel te traag en niet erg gebruiksvriendelijk. Overigens heb ik het probleem voor nu opgelost door de APN voor MMS'jes te verwijderen. Ik kan nu dus geen MMS meer ontvangen ( want wie gebruikt dat nou?) en ben er dus ook niet meer vatbaar voor

Ai. De enige manier om nog kwetsbaarder te zijn dan je al was is ook nog eens te denken dat je niet kwetsbaar zou zijn

Voor zover nu bekend is is alles dat filmpjes afspeelt een risico. Hangouts laadt ze op eigen initiatief in en is daarom extra gevaarlijk, maar een hele trits andere applicaties levert dus ook risico's op. Er lijken wat uitzonderingen te zijn, maar het is nu dus meer een kwestie van kwetsbaar, tenzij in plaats van andersom.

Het uitschakelen van MMS zorgt er vooral voor dat anderen je niet zomaar een filmpje meer toe kunnen sturen, maar verandert verder niet veel aan de kwetsbaarheid zelf. Zoals al zo vaak is gemeld: dit gaat dieper dan wat apps of instellingen.

[RemcoDelft]

Verwijderd schreef op dinsdag 28 juli 2015 @ 00:43:
Mij lijkt het grootste probleem dat veel apparaten lang op deze updates moeten wachten of simpelweg nooit gaan krijgen.

En als ze het wel doen, wordt het enorm lastig gemaakt. Mijn laatste update (lang geleden) van Sony kon niet "over the air" maar moest via een kabeltje aan een Windows-PC.

[Verwijderd]

j1nx schreef op woensdag 29 juli 2015 @ 13:17:
[...]


- Gebruik je Facebook? En zo ja, speel je daar wel eens de filmpjes af die jan en alleman erop gooien?

Niet op mijn telefoon.

- Gebruik je Whatsapp? En zo ja, sturen je vrienden je wel eens grappige zooi?

Ze sturen nooit filmpjes door die ze niet zelf gemaakt hebben, nee.

- Twitter je? En zo ja, bekijk je wel eens de gelinkte fimpljes en zo?

Nee.

- Wel eens op youtube?

Niet op mijn telefoon.

- Browse je wel eens op internet op je telefoon?

Ja, zonder Javacript en zonder cookies te accepteren. Volgens mij gaat het dus aardig zo.

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 21:46:
Ze sturen nooit filmpjes door die ze niet zelf gemaakt hebben, nee.

Er wordt al volop gespeculeerd over hoe dit lek als een worm ingezet kan worden. Jij krijgt een berichtje, of zelfs gewoon een legitiem filmpje van iemand met een duistere payload en je bent gezien. Vervolgens stuurt je telefoon aan de hand van jouw adresboek filmpjes rond, of stuurt het code mee met de filmpjes die je zelf verstuurd.

Ja, zonder Javacript en zonder cookies te accepteren. Volgens mij gaat het dus aardig zo.

De kwetsbaarheid zit niet in Javascript en niet in cookies. Je bent onbeschermd. Het is geen aangenaam verhaal, maar beter als je het maar gewoon weet

[Verwijderd]

Verwijderd schreef op woensdag 29 juli 2015 @ 22:01:
[...]

Er wordt al volop gespeculeerd over hoe dit lek als een worm ingezet kan worden. Jij krijgt een berichtje, of zelfs gewoon een legitiem filmpje van iemand met een duistere payload en je bent gezien. Vervolgens stuurt je telefoon aan de hand van jouw adresboek filmpjes rond, of stuurt het code mee met de filmpjes die je zelf verstuurd.


[...]

De kwetsbaarheid zit niet in Javascript en niet in cookies. Je bent onbeschermd. Het is geen aangenaam verhaal, maar beter als je het maar gewoon weet

Zodra je een filmpje

Zonder Javascript werkt vrijwel geen filmpje

Luister, ik beeld me niet in dat ik onkwetsbaar ben. Wat ik wel denk is dat met mijn gebruik, mijn voorzorgsmaatregelen en een beetje gezond verstand de kans op een infectie erg klein is. Dat is alles wat ik zeg.

[azerty]

Ik wacht nog een weekje af, tot de details gepubliceerd worden en beslis dan wat ik doe.

Heb nu een geroote Moto G 2014 met een "stock" Android 5.0.2 (of zoiets), en heb de MMS APN's uitgezet, de stock MMS app vervangen door de silentcircle app (want die doet geen preprocessing), dus voorlopig ben ik vrij "veilig" denk ik.

Afhankelijk van hoe snel er een update zou komen, overweeg ik om een upgrade te geven naar CM, die het blijkbaar wel al gepatcht heeft. Kan ik gelijk nog een deel van de GApps weggooien

[j1nx]

Mensen die op Facebook zitten.

Ken je die ketting brief gezeik over een filmpje van Michael Schumacher en de waarschuwing dat je die niet moet kijken omdat ze binnen 5 minuten je bank account leeg getrokken hebben??

Die gaat al sinds begin 2014 over het Facebook. Dacht altijd; Yeah right, een filmpje en mijn bank account is leeg. Heb het filmpje in kwestie nooit voorbij zien komen, maar gezien de recente ontwikkelingen moet ik nu toch zeggen; Slik... dat zou betekenen dat inderdaad de "zwarte" sectie al veelvuldig gebruik maakt van de exploit.

(Hij is er op FB ook in andere formaten met filmpjes en waarschuwingen)

[ASW1]

Ha, leuk, de digitale kettingbrief!

[j1nx]

Verwijderd schreef op woensdag 29 juli 2015 @ 21:46:
Ze sturen nooit filmpjes door die ze niet zelf gemaakt hebben, nee.

Dat maakt niet zo heel veel uit. Een worm is zo geschreven;
- Hacker binnen
- Filmpje pakken vanuit camera bestanden. (dus door die persoon gemaakt)
- Filmpje aanpassen met exploit in header
- Filmpje versturen naar alle contacten in het adres boek

Jij ontvangt dan gewoon een filmpje van je maat van zijn laatste BBQ sessie in de tuin. Leuk joh! Onder tussen ontvangen alle contacten in jouw adres boek een filmpje van jou, etc etc.

Verwijderd schreef op woensdag 29 juli 2015 @ 21:46:
Ja, zonder Javacript en zonder cookies te accepteren. Volgens mij gaat het dus aardig zo.

Javascript is een vorm van code ja, maar vandaag de dag echt niet meer de enige. HTML5 duwd ook wel video door je strot. Misschien weten ze de boel ook wel naar flash door te duwen, etc.

Websites zien er vandaag de dag allemaal fancy uit met bewegende shit enzo. Website hacken, en die kleine fimpjes aanpassen is genoeg om weer een heleboel gebruikers te hacken.


Het vervelende van alles is, dat je eigenlijk niet weet dat je gehacked bent. De eerste taak van de exploit zal zijn om de sporen uit te wisselen.


Mensen waren al helemaal hyper met de heartbleed van laatst, echter denk ik dat de impact van dit toch zeker heartbleed in het kwadraat zal zijn.

[Verwijderd]

Als facebook zijn software goed heeft geschreven dan kan je een filmpje niet even injecteren met malware.

En dat is het 'm nou juist. De android heeft blijkbaar een lek waardoor het injecteren met eigen code mogelijk is. Dat hoort op een fatsoenlijk stukje geschreven platform zoals facebook ook niet.

Het meeste is te wijten aan de stommiteit van gebruikers. Klikken op clickbait, apps toegang verlenen tot al je contacten en wat nog meer om 'een post' te kunnen zien bijv, klikken op inkomende links via PB berichten enz. Het spelletje is net zo oud als dat het in de tijd van MSN messenger en ICQ was.

Zet gewon je internet uit, geen wireless ook meer, ben je het veiligst. Mensen gaan hier aannames staan maken wat een hacker allemaal niet doen zou. Het is het meest interessant voor bijv mensen met een belangrijke functie in politiek, bedrijvigheid of een bekend persoon.

Wist je dat als je verdachte bent ze ook gewoon je telefoon in kunnen en desnoods een tap kunnen leggen op je verkeer? Zulk soort exploits worden zelfs in het diepste geheim gewoon onderling doorverkocht aan bedrijven toe.

[RickvB]

azerty schreef op woensdag 29 juli 2015 @ 23:15:
Ik wacht nog een weekje af, tot de details gepubliceerd worden en beslis dan wat ik doe.

Heb nu een geroote Moto G 2014 met een "stock" Android 5.0.2 (of zoiets), en heb de MMS APN's uitgezet, de stock MMS app vervangen door de silentcircle app (want die doet geen preprocessing), dus voorlopig ben ik vrij "veilig" denk ik.

Afhankelijk van hoe snel er een update zou komen, overweeg ik om een upgrade te geven naar CM, die het blijkbaar wel al gepatcht heeft. Kan ik gelijk nog een deel van de GApps weggooien

Zit ik hier met een S5+ waar geen CM versie voor beschikbaar is...

[Verwijderd]

j1nx schreef op woensdag 29 juli 2015 @ 13:17:
[...]


De andere vragen je om je smart telefoon te gebruiken alvorens je besmet kan raken, maar als je alle smart dingen weg laat / uitzet dan pas ben je niet kwestbaar.

Je telefoon kan prima smart zijn.
Dat staat niet gelijk aan kwetsbaarheid voor deze bug.
Zeker als je je Android runtime veilig beschermt hebt door een op QNX gebaseerd os, is er niet zoveel aan de hand en heb je überhaupt geen last van stagefright.

[j1nx]

Verwijderd schreef op donderdag 30 juli 2015 @ 23:23:
[...]

Je telefoon kan prima smart zijn.
Dat staat niet gelijk aan kwetsbaarheid voor deze bug.
Zeker als je je Android runtime veilig beschermt hebt door een op QNX gebaseerd os, is er niet zoveel aan de hand en heb je überhaupt geen last van stagefright.

Tuurlijk heb je wel gelijk; Voor jou, voor mij, voor menig ander Tweaker (echter al lang niet alle Tweakers alhier). Maar voor die andere 99% van de 80% mogelijke kwetsbare Android gebruikers, betekend het gewoon;

- Accepteren dat je kwetsbaar bent en ondanks common sense in het gebruik besmet kan worden.
- Je gebruik downgraden naar de "nokia" manier.
- Een nieuwe(re) telefoon

Een gedeelte zal misschien nog een firmware update krijgen.


Maar aan de andere kant, het heeft ook voordelen. We kunnen binnenkort weer allemaal pikante fotoos verwachten van onze favorieten celebraties

[Verwijderd]

Of geluidsopname van foute politici

[Verwijderd]

Beste allemaal,


Ik vrees dat mijn telefoon gehackt is op de manier die zo uitvoerig besproken wordt in dit topic. Ik was namelijk gewoon rustig op mijn telefoon bezig toen ik een smsje kreeg van een of ander bedrijf met daarin een code. Helaas kwam dit smsje aan in hangouts. Ik heb het smsje niet geopend maar zag doordat boven in mijn scherm een deel van het bericht verscheen wel dat er een code instond. Ik vrees dus dat ik gehackt ben. Direct nadat het smsje binnenkwam heb ik mijn telefoon uitgezet en mijn batterij eruit gehaald. Ik weet alleen nu niet hoe verder. Ben ik wel echt gehackt en wat moet ik nu doen?

[Freee!!]

Verwijderd schreef op vrijdag 31 juli 2015 @ 14:03:
Beste allemaal,


Ik vrees dat mijn telefoon gehackt is op de manier die zo uitvoerig besproken wordt in dit topic. Ik was namelijk gewoon rustig op mijn telefoon bezig toen ik een smsje kreeg van een of ander bedrijf met daarin een code. Helaas kwam dit smsje aan in hangouts. Ik heb het smsje niet geopend maar zag doordat boven in mijn scherm een deel van het bericht verscheen wel dat er een code instond. Ik vrees dus dat ik gehackt ben. Direct nadat het smsje binnenkwam heb ik mijn telefoon uitgezet en mijn batterij eruit gehaald. Ik weet alleen nu niet hoe verder. Ben ik wel echt gehackt en wat moet ik nu doen?

Om te beginnen:

Niet in paniek raken.

Dit lek heeft alleen betrekking op filmpjes (tenzij ik het echt verkeerd begrepen heb), dus codes die jij kunt lezen zijn echt niet zo erg. Als dit bevestigd wordt, kun je dus gewoon je telefoon weer aanzetten.

[Verwijderd]

Oke heel erg bedankt!


Ik denk dan ook dat ik dan alleen maar gewoon een raar smsje met vreemde code's heb gekregen maar weet in ieder geval dat je dus alleen gehackt wordt als ze je een filmpje toesturen. Ook heel erg bedankt voor alle andere tips, ga nu het risico zo klein mogelijk maken. Nogmaals bedankt!!!

[Verwijderd]

Verwijderd schreef op donderdag 30 juli 2015 @ 10:16:
Zet gewon je internet uit, geen wireless ook meer, ben je het veiligst.

Een smartphone zonder internet is maar weinig waard. Het is hooguit eerste schadebeperking, maar geenszins een oplossing.

[DieBegging]

Kreeg deze link van Avast over welke apps er gevoelig voor zijn en welke instellingen aan te passen:

Messages app
Google Hangouts app
Messenger app
Messaging app
WhatsApp

https://www.avast.com/en-us/faq.php?article=AVKB230

[tweakerjunior]

Bedankt voor de tips snel alles aangepast

Nu zo snel mogelijk proberen cm12.1 te installeren op mijn telefoon. Daar is het lek gefixt.

[ Voor 52% gewijzigd door tweakerjunior op 31-07-2015 22:48 ]

[Verwijderd]

Meer details van de ontdekkers van het lek. Een verontrustende suggestie is dat een kwetsbare telefoon gebruikt kan worden om aan het verdere netwerk te rommelen.

During successful attacks, the attacker is able to run arbitrary code on the target device with media or system privileges the audio and camera of the device. Using these privileges, an attacker can perform reconnaissance on their victim by listening in on conversations, and enabling video recording.

On some devices, the affected software runs with “system” privileges. On these devices, the attacker has significantly elevated privileges. On these devices, the attacker has almost full control of the device already.

Apart from these elevated privileges, remote code execution allows sophisticated attackers to execute “privilege escalation” attacks, which allow the attacker to change “roles” on the device – providing unfettered control: access to read the victim’s emails, facebook/whatsapp messages and contacts, access data from other applications or use the device as a pivot into the customers network and cloud applications.

[tweakerjunior]

Verwijderd schreef op zaterdag 01 augustus 2015 @ 06:34:
Meer details van de ontdekkers van het lek. Een verontrustende suggestie is dat een kwetsbare telefoon gebruikt kan worden om aan het verdere netwerk te rommelen.
[...]

Het lijkt steeds erger te worden
Ik hoop dat Google met een app komt om het lek te fixen ...

[musback]

YouTube: Stagefright - Android vulnerability in action
De bewijsvideo van Zimperium staat inmiddels online. Alarmerend me dunkt!

update: weer offline Heeft iemand een mirror? of deze vid gedownload?

[ Voor 16% gewijzigd door musback op 03-08-2015 13:16 ]

[tweakerjunior]

Ik heb hier ergens gelezen dat het ''veiliger'' zou zijn om firefox te gebruiken. Is het niet handig om Adblock browser te gebruiken? Die blokkeert automatisch de advertenties en is gebaseerd op firefox.

nieuws: Adblock Plus brengt bètaversie van Android-browser uit

[Robkazoe]

Daarmee kan het nog steeds via een MMS binnen komen. Ik vind het allemaal leuk en aardig dat we dit handmatig gaan zitten oplossen per toestel maar vraag mij nu echt af of ook maar iets of iemand hiermee bezig is @ google.

[Motrax]

Ik ben niet blij met de reactie van Google. Je zou verwachten dat voor alle versies en subversies van Android een patch wordt uitgebracht die de fabrikanten dan versneld kunnen uitrollen. Door alleen de hoogste versie van Android (5.1.x) te patchen ontloopt Google haar verantwoordelijkheid.

Een security patch hoort niet alleen in de nieuwste branch van je code, maar tot op zekere hoogte ook naar voorgaande versies teruggebracht moeten worden.

[Verwijderd]

tweakerjunior schreef op maandag 03 augustus 2015 @ 12:33:
Ik heb hier ergens gelezen dat het ''veiliger'' zou zijn om firefox te gebruiken. Is het niet handig om Adblock browser te gebruiken? Die blokkeert automatisch de advertenties en is gebaseerd op firefox.

nieuws: Adblock Plus brengt bètaversie van Android-browser uit

Dat kan je misschien beter Firefox met Adblock los gebruiken. Bij Firefox weet je vrij zeker dat het gat daar in ieder geval gedicht is (als ik de berichten mag geloven), bij een afgeleide weet je het nooit.

Al brengt dat dus inderdaad geen volledige zekerheid, alleen qua browsen. Of Whatsapp en dergelijke dan nog gevaar opleveren weet ik niet.

Motrax schreef op woensdag 05 augustus 2015 @ 07:18:
Ik ben niet blij met de reactie van Google. Je zou verwachten dat voor alle versies en subversies van Android een patch wordt uitgebracht die de fabrikanten dan versneld kunnen uitrollen. Door alleen de hoogste versie van Android (5.1.x) te patchen ontloopt Google haar verantwoordelijkheid.

Vooralsnog lijken ze toch dat pad te bewandelen. Ik kan me niet voorstellend dat zoiets op de lange termijn geen ongelofelijke pijn gaat doen, bedrijven kijken wel uit nog voor Android te kiezen.

[ Voor 26% gewijzigd door Verwijderd op 05-08-2015 07:26 ]

[Motrax]

Verwijderd schreef op woensdag 05 augustus 2015 @ 07:25:
Vooralsnog lijken ze toch dat pad te bewandelen. Ik kan me niet voorstellend dat zoiets op de lange termijn geen ongelofelijke pijn gaat doen, bedrijven kijken wel uit nog voor Android te kiezen.

Mijn volgende telefoon wordt een Windows phone. Jammer van de hoeveelheid apps. Alleen Flitsmeister ga ik missen (is er wel, maar niet zo goed als op Android).

Ik persoonlijk ben volledig klaar met het Android eco-systeem en de updates. Apple en Windows hebben ongetwijfeld ook hun mankementen, maar bij Android is de basis er niet: beveiliging c.q updates.

Het gaat niet alleen om bedrijven: als er een worm echt losgaat in het wild en rondgaat in het Android eco-systeem dan dringt het ook door tot het grote publiek...

Ik kan mij het Blaster tijdperk nog herinneren. Beetje sitting duck achter je werkpc spelen en aftellen totdat je pc ook de sjaak werd. Gelukkig op tijd toen een pc afgekoppeld van het netwerk en lokaal met een document verder gewerkt. De systeembeheerder kwam later die dag de nieuwste virusdefinities handmatig installeren...

[Verwijderd]

Motrax schreef op woensdag 05 augustus 2015 @ 07:49:
Mijn volgende telefoon wordt een Windows phone.

Windows heeft door zijn overeenkomsten met de desktopversie van Windows zo mogelijk nog meer veiligheidsrisico's en (potentiële) lekken. Of die beweging zin heeft valt dus te betwijfelen.

[JackBol]

Verwijderd schreef op woensdag 05 augustus 2015 @ 08:47:
[...]

Windows heeft door zijn overeenkomsten met de desktopversie van Windows zo mogelijk nog meer veiligheidsrisico's en (potentiële) lekken. Of die beweging zin heeft valt dus te betwijfelen.

Het gaat niet om hoeveel lekken erin zitten, het gaat erom hoe makkelijk het gerepareerd kan worden.
MS en Apple hebben dat goed voor elkaar, Google niet. En dat doet nu pijn.

[Calamor]

Het is jammer dat je niet via de telecom provider kan instellen dat je geen mms wilt ontvangen. Denk dat bijna niemand die het gebruik. Is gelijk voor veel mensen een zorg minder.

[Fiber]

JackBol schreef op woensdag 05 augustus 2015 @ 10:28:
[...]

Het gaat niet om hoeveel lekken erin zitten, het gaat erom hoe makkelijk het gerepareerd kan worden.
MS en Apple hebben dat goed voor elkaar, Google niet. En dat doet nu pijn.

Maar hoe erg is het nou en wat moeten we nou praktisch gaan doen met een wat ouder toestel? Door de waspoelen/door de shredder halen? Uitzetten en in een donkere la leggen tot het probleem is opgelost? Of valt er uiteindelijk toch nog wel mee te leven?

Ik heb overigens na het lezen van het artikel op de FP Google Play: Stagefright Detector App geïnstalleerd maar die blijft hangen na drie keer 'Testing...' Is dat normaal?

[dutchgio]

Nee, bij mij is die vrij snel klaar met scannen.
Vrij recente (niet-officiele) build van CM12.1 is in ieder geval niet kwetsbaar.

[Brilsmurfffje]

Verwijderd schreef op woensdag 05 augustus 2015 @ 08:47:
[...]

Windows heeft door zijn overeenkomsten met de desktopversie van Windows zo mogelijk nog meer veiligheidsrisico's en (potentiële) lekken. Of die beweging zin heeft valt dus te betwijfelen.

Nee dat is niet waar, windows is vaak het target van aanvallen daarom zijn er ook altijd zoveel patches.
Iedere windows telefoon is standaard encrypted en bevat een TPM chip. Updates komen direct van Microsoft af en komen over the air. Je hebt dus geen gezeik met speciale versies van fabrikanten of providers. Hence volgensmij is windows Phone het veiligste OS dat je nu kan kopen..

[JackBol]

Fiber schreef op donderdag 06 augustus 2015 @ 13:21:
[...]

Maar hoe erg is het nou en wat moeten we nou praktisch gaan doen met een wat ouder toestel? Door de waspoelen/door de shredder halen? Uitzetten en in een donkere la leggen tot het probleem is opgelost? Of valt er uiteindelijk toch nog wel mee te leven?

Ik heb overigens na het lezen van het artikel op de FP Google Play: Stagefright Detector App geïnstalleerd maar die blijft hangen na drie keer 'Testing...' Is dat normaal?

Kan je Blaster en Slammer nog herinneren? Dat is de toekomst worden van deze 'orphaned' Android devices. Wanneer je em aan zet zal hij binnen de kortste keren infected zijn, met alle gevolgen van dien.

Overigens heb ik niet de pik op Android, dit is een probleem van alle devices die niet meer geupdate worden. Daarom moet je ook geen Windows XP meer gebruiken. Ook niet met firewall en virusscanner.


Stel je het volgende scenario voor;

1) Een gebruiker heeft een 'orphaned' smartphone die niet meer up2date gehouden word door de leverancier
2) Dit device wordt via een well known unpatched remote exploit infected met malware, welke middels een well known unpatched privilage escalation exploit nu root privileges op de smartphone heeft.
3) De malware luistert de pincode af wanneer je inlogt op je bankieren-app
4) De malware logt op een later tijdstip op de achtergrond in op je bankieren-app en probeert 250 euro over te maken naar een buitenlandse bankrekening.
5) De authoriserende TAN code voor de transactie komt binnen op de smartphone en de malware gebruikt het om de transactie in de app goed te keuren.

De gebruiker word s'ochtends wakker en is 250 euro lichter.
Wie z'n schuld is dit nu? Gaat de bank dit voor je oplossen? Krijg je je geld terug?
De PvdA vind dat dit de verantwoordelijkheid moet zijn van de banken.

Maar is dat een vrijbrief om met onveilige apparaten te internet bankieren?
Stel dat jij de bank-meneer bent, hoe kijk je dan tegen dit voorstel aan?
Zou het bankieren met een outdated device aangemerkt kunnen worden als grove nalatigheid?

[Fiber]

JackBol schreef op donderdag 06 augustus 2015 @ 15:02:
[...]

Daarom moet je ook geen Windows XP meer gebruiken. Ook niet met firewall en virusscanner...

Maar bij een PC kun je er tenminste nog een recent OS als Windows 10 op zetten of als dat te zwaar is een lichte maar wel recente Linux distro. Bij een smartphone is dat een stuk lastiger en vaak zelfs onmogelijk. En dat terwijl zo'n oude smartphone nog prima bruikbaar is voor licht gebruik en/of voor kinderen...

Gaan Android virus scanners dit niet kunnen oplossen? Of een app/tooltje dat je instellingen automatisch (zo) veilig (mogelijk) zet...?

[JackBol]

Fiber schreef op donderdag 06 augustus 2015 @ 15:15:
[...]

Maar bij een PC kun je er tenminste nog een recent OS als Windows 10 op zetten of als dat te zwaar is een lichte maar wel recente Linux distro. Bij een smartphone is dat een stuk lastiger en vaak zelfs onmogelijk. En dat terwijl zo'n oude smartphone nog prima bruikbaar is voor licht gebruik en/of voor kinderen...

Gaan Android virus scanners dit niet kunnen oplossen? Of een app/tooltje dat je instellingen automatisch (zo) veilig (mogelijk) zet...?

Als de kernel vulnerable is en niet meer maintained wordt, zijn per definitie alle applicaties die erop draaien (virus scanners en andere security tools) ook niet meer betrouwbaar.

De virus-scanner moet altijd door de kernel heen om een een bestand te scannen. Als de malware in de kernel zit, zal deze dus altijd tegen de scanner of dat tooltje zeggen dat alles pico bello in orde is, ongeacht wat de werkelijkheid is.

[spartacusNLD]

dutchgio schreef op donderdag 06 augustus 2015 @ 13:23:
Nee, bij mij is die vrij snel klaar met scannen.
Vrij recente (niet-officiele) build van CM12.1 is in ieder geval niet kwetsbaar.

OnePlus One (ook CM) wel kwetsbaar.. dan maar laatste versie van mijn ROM flashen en hopelijk is het opgelost dan.

[ Voor 11% gewijzigd door spartacusNLD op 06-08-2015 15:22 ]

[TTLCrazy]

S6 edge gisteren ge-update is kwetsbaar. Nu maar hopen dat Samsung met een snelle fiks kom. Ik heb ondertussen wel het automatisch downloaden van MMS uigezet zoals boven beschreven.

[Verwijderd]

JackBol schreef op woensdag 05 augustus 2015 @ 10:28:
Het gaat niet om hoeveel lekken erin zitten

Daar gaat het wel degelijk om als die lekken ook actief gebruikt worden, wat bij Windows het geval (b)lijkt.

Brilsmurfffje schreef op donderdag 06 augustus 2015 @ 13:40:
Nee dat is niet waar, windows is vaak het target van aanvallen daarom zijn er ook altijd zoveel patches.
Iedere windows telefoon is standaard encrypted en bevat een TPM chip. Updates komen direct van Microsoft af en komen over the air. Je hebt dus geen gezeik met speciale versies van fabrikanten of providers. Hence volgensmij is windows Phone het veiligste OS dat je nu kan kopen..

Qua updates wel, maar qua daadwerkelijke malware die actief is zou het nog weleens vies tegen kunnen vallen. Dan zijn die updates ook gelijk een stuk minder waard.

[ Voor 55% gewijzigd door Verwijderd op 06-08-2015 15:45 ]

[Asgaro]

Verwijderd schreef op woensdag 05 augustus 2015 @ 07:25:

[...]

Vooralsnog lijken ze toch dat pad te bewandelen. Ik kan me niet voorstellend dat zoiets op de lange termijn geen ongelofelijke pijn gaat doen, bedrijven kijken wel uit nog voor Android te kiezen.

Daar maak je een goed punt: mijn vader's werkgever laat toe dat mensen hun eigen smartphone gebruiken ipv een opgelegd door het bedrijf.
Optioneel (of was misschien verplicht) heeft hij indertijd gevraagd of ik er Google Play: TouchDown for Smartphones wou opzetten, met behulp van een tutorial van op het intranet v/d werkgever. Daarmee kan hij al z'n werkmails raadplegen.

Die smartphone draait op Kitkat en zou normaal gezien geen Lollipop update krijgen dus de vraag is of die ook security fixes krijgt. Het is een Samsung Galaxy S4 Mini.

[JackBol]

Verwijderd schreef op donderdag 06 augustus 2015 @ 15:44:
[...]

Daar gaat het wel degelijk om als die lekken ook actief gebruikt worden, wat bij Windows het geval (b)lijkt.

Maar wat ik wil zeggen is dat je de volgende patch-tuesday weer van je probleem af bent.

[Asgaro]

SMS app Textra heeft sinds kort ook bescherming ingebouwd:

[Verwijderd]

Asgaro schreef op donderdag 06 augustus 2015 @ 16:02:
Daar maak je een goed punt: mijn vader's werkgever laat toe dat mensen hun eigen smartphone gebruiken ipv een opgelegd door het bedrijf.

Je hoeft niet eens een daadwerkelijk probleem of lek te hebben om Android toch onaantrekkelijk te maken voor bedrijven - puur het gebruiken van een telefoon met een (potentieel) lek zou weleens genoeg kunnen zijn om tegen allerlei juridische aansprakelijkheden aan te lopen. Nog even los van hoe verwoestend een daadwerkelijk lek of andere besmetting voor een bedrijf kan zijn.

JackBol schreef op donderdag 06 augustus 2015 @ 16:07:
Maar wat ik wil zeggen is dat je de volgende patch-tuesday weer van je probleem af bent.

Buiten dat je achter de feiten aanloopt, laat de desktopversie van Windows ook goed zien dat dat een verre van sluitende strategie is. Er zijn tal van kwetsbaarheden die actief misbruikt worden en die niet gelijk of überhaupt gepatcht worden.

[JackBol]

Verwijderd schreef op donderdag 06 augustus 2015 @ 16:11:

Buiten dat je achter de feiten aanloopt, laat de desktopversie van Windows ook goed zien dat dat een verre van sluitende strategie is. Er zijn tal van kwetsbaarheden die actief misbruikt worden en die niet gelijk of überhaupt gepatcht worden.

Wat voor raging rampant world-wide network-killing exploit is er momenteel actief dan dat je maar beter windows links kan laten liggen? Ik kan het mis hebben maar volgens mij hebben we met z'n allen dat platform best goed in de hand nu.


Ik weet niet of je computer-technisch actief was rond 2001/2002/2003, maar dat noemde ik wild west.

[Brilsmurfffje]

Verwijderd schreef op donderdag 06 augustus 2015 @ 15:44:
[...]

Daar gaat het wel degelijk om als die lekken ook actief gebruikt worden, wat bij Windows het geval (b)lijkt.


[...]

Qua updates wel, maar qua daadwerkelijke malware die actief is zou het nog weleens vies tegen kunnen vallen. Dan zijn die updates ook gelijk een stuk minder waard.

Kom eens met bronnen dan? Want de grote lekken die afgelopen maand uitgekomen hebben bij mijn weten allen geen betrekking op Microsoft.

[Verwijderd]

JackBol schreef op donderdag 06 augustus 2015 @ 16:26:
Wat voor raging rampant world-wide network-killing exploit is er momenteel actief dan dat je maar beter windows links kan laten liggen? Ik kan het mis hebben maar volgens mij hebben we met z'n allen dat platform best goed in de hand nu.

Brilsmurfffje schreef op donderdag 06 augustus 2015 @ 16:32:
Kom eens met bronnen dan? Want de grote lekken die afgelopen maand uitgekomen hebben bij mijn weten allen geen betrekking op Microsoft.

Jullie beweren beiden dat Windows momenteel absoluut waterdicht is en er geen actieve exploits in het wild te vinden zijn?

[Chester]

Verwijderd schreef op donderdag 06 augustus 2015 @ 16:37:
[...]


[...]

Jullie beweren beiden dat Windows momenteel absoluut waterdicht is en er geen actieve exploits in het wild te vinden zijn?

Android kan ook nog meerdere grote onbekende exploits hebben. Het punt is, zodra er één bekend is, wordt het meteen gepatched. Net zoals die font vulnerability van laatst.

[Verwijderd]

Wellicht ten overvloede, maar de hack in actie:

Het artikel op Tweakers: reviews: Gehackt met één berichtje - Ernstig lek in videoframework Android

Chester schreef op donderdag 06 augustus 2015 @ 16:55:
Android kan ook nog meerdere grote onbekende exploits hebben. Het punt is, zodra er één bekend is, wordt het meteen gepatched. Net zoals die font vulnerability van laatst.

offtopic:
Ik had het dan ook over dat exploits in het wild geen zeldzaamheid zijn, niet over zero-days. Maar goed, dit gaat wel erg off-topic, nu weer over Stagefright

[JackBol]

Verwijderd schreef op donderdag 06 augustus 2015 @ 16:37:
[...]


[...]

Jullie beweren beiden dat Windows momenteel absoluut waterdicht is en er geen actieve exploits in het wild te vinden zijn?

Geen enkele software is absoluut waterdicht.
Maar supported versies van windows zijn momenteel veilig. Er zijn geen bekende unpatched exploit momenteel in het wild.

Als jij denkt van wel, dan graag een link.

[Asgaro]

De Stagefright Detector app werd geupdate. Geen changelog te vinden, maar wat direct opvalt:

- ze melden dat er anonieme data wordt verzameld om een beeld te krijgen van het Android landschap qua updates.
- je ziet nu voor welke CVEs je specifiek nog vulnerable bent.

Blijkbaar ben ik al voor 3 CVE's beschermd. Morgen/straks is bekijken wat deze precies inhouden.
FYI, ik zit op Android 5.0.2.
Via OTA kan ik er per direct 5.1.1 opzetten. Normaalgezien zou ik nog niet direct upgraden (Wil daarna direct een factory reset uitvoeren en heb nu niet veel tijd om alles dan terug goed te zetten), maar misschien zal ik me wel gedwongen voelen nu met dat ganse Stagefright gedoe.

[Wim-Bart]

Grappig om alle oplossingen te zien. Het komt er op neer dat je gewoon geen video's moet kijken op een Android device. Waarom nog een smartphone...... of een tablet als ie gecrippled wordt wanneer je geen update krijgt.

[SidewalkSuper]

Nogmaals een groot lek gevonden: Certifigate

Certifi-gate: Hundreds of Millions of Android Devices Could Be Pwned
Check Point today released details about Certifi-gate, a previously unknown vulnerability in the architecture of popular mobile Remote Support Tools (RSTs) used by virtually every Android device manufacturer and network service provider. The Check Point mobile threat research team disclosed its findings at a briefing session at Black Hat USA 2015 in Las Vegas, NV this morning.

What is Certifi-gate?
Certifi-gate is a set of vulnerabilities in the authroization methods between mobile Remote Support Tool (mRST) apps and system-level plugs on a device. mRSTs allow remote personnel to offer customers personalized technical support for their devices by replicating a device’s screen and by simulating screen clicks at a remote console. If exploited, Certifi-gate allows malicious applications to gain unrestricted access to a device silently, elevating their privileges to allow access to the user data and perform a variety of actions usually only available to the device owner.

How does Certifi-gate make my device vulnerable?
Check Point researchers examined the verification methods by which trusted components of the mRSTs validate remote support applications, and discovered numerous faulty exploitable implementations of this logic. This allows mobile platform attackers to masquerade as the original remote supporter with system privileges on the device.

What devices are at risk?
Vulnerable components of these 3rd party mRSTs are often pre-loaded on devices or included as part of a manufacturer or network provider’s approved software build for a device. This creates significant difficulty in the patching process and makes affected components impossible to remove or to work around.

Check Point has also made available a scanner app that can determine whether your device is vulnerable to Certifi-gate. Click here to download the scanner app from Google Play.

http://blog.checkpoint.com/2015/08/06/certifigate/

Tweakers is dit keer erg traag met het oppikken van het nieuws, de reguliere media heeft het ook al gevonden.

[Kiswum]

Het Chinese Xiaomi Mi2 van 3 jaar oud is al minimaal een week geleden gepatched tegen Stagefright in de ML weekly build 5.7.31. Ik kan dan eigenlijk wel zeggen dat alle Xiaomi telefoons en tablets veilig zijn als ze op de laatste weekly builds draaien.
Dit heb ik zojuist getest via de app van Zimperium inc.

[j1nx]

Fiber schreef op donderdag 06 augustus 2015 @ 13:21:
[...]

Maar hoe erg is het nou en wat moeten we nou praktisch gaan doen met een wat ouder toestel? Door de waspoelen/door de shredder halen? Uitzetten en in een donkere la leggen tot het probleem is opgelost? Of valt er uiteindelijk toch nog wel mee te leven?

Ik heb overigens na het lezen van het artikel op de FP Google Play: Stagefright Detector App geïnstalleerd maar die blijft hangen na drie keer 'Testing...' Is dat normaal?

Bij mij ook op een P8 lite. Misschien omdat ik al zelf maatregelen tegen de auto play heb genomen?

[Fiber]

Ik vrees van niet... Er is ook zo'n detector van Lookout. Die doet het bij mij wel en geeft aan dat ik kwetsbaar ben...:

Google Play: Stagefright Detector

[ Voor 35% gewijzigd door Fiber op 08-08-2015 10:12 ]

[Verwijderd]

Letten jullie er bij die Stagefright en Certifi-gate detector-apps wel op hooguit alleen de apps van bekende partijen te downloaden? Het is niet handig om in je veiligheidsdrift een Trojaans paard binnen te halen

Asgaro schreef op vrijdag 07 augustus 2015 @ 03:37:
Blijkbaar ben ik al voor 3 CVE's beschermd. Morgen/straks is bekijken wat deze precies inhouden.

Het is me dan ook niet precies duidelijk of deze samen een pakketje vormen, of dat iedere bug op zich een kwetsbaarheid is.

[ Voor 43% gewijzigd door Verwijderd op 08-08-2015 10:21 ]