Lähes kaikissa Android-puhelimissa aukko – puhelin haltuun yhdellä viestillä

Janne Laakso | Julkaistu ma 27.7.2015, klo 20:23

Jaa tämä

• Facebook
• Twitter
• LinkedIn
• WhatsApp

Lähes kaikissa Android-puhelimissa on vaarallinen aukko, jonka kautta hyökkääjä voi päästä laitteeseen käsiksi käyttäjän huomaamatta, yhdellä multimediaviestillä. Käyttäjän ei tarvitse itse välttämättä edes tehdä mitään, vaan lähetetty viesti pahimmillaan saastuttaa puhelimen, ennen kuin laite ehtii äänimerkillä kertoa viestin saapumisesta.

Vakavasta aukosta kertoi Zimperium-yhtiön tutkija Joshua Drake. Vaiva koskee noin 95 prosenttia Android-puhelimista ja samainen aukko löytyy Androidin versioista 2.2-5.1. Hyökkääjä voi piilottaa haittaohjelman videonpätkään ja lähettää videon viestin liitteenä puhelimeen. Hyökkäykseen riittää siis vastaanottajan puhelinnumero. Jos vastaanottajalla on käytössä Googlen Hangouts-sovellus, haittaohjelma pääsee asentumaan laitteeseen viestiä avaamatta. Mikäli käytössä on puhelinvalmistajan oma viestisovellus, pääsee haittaohjelma asentumaan siinä vaiheessa, kun viesti avataan. Pahimmillaan ohjelma voi asentua ja pyyhkiä jäljet saapumisestaan käyttäjän huomaamatta, esimerkiksi tämän nukkuessa. Kun haittaohjelma on asentunut, se voi esimerkiksi selata käyttäjän tietoja tai viestejä tai käyttää laitteen mikrofonia.

Zimperiumin Drake on lähestynyt Googlea aukon paikkaamiseksi, mutta ongelmana on Androidin laaja laitekanta, josta vain pieni osa lopulta saa päivityksiä. Draken arvion mukaan ehkä vain 20 prosenttia tai parhaimmillaankin vain puolet laitteista saa korjauspäivityksen.

Jaa tämä

• Facebook
• Twitter
• LinkedIn
• WhatsApp

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla

Lue lisää aiheista

Android Google Hangouts Joshua Drake Zimperium

Kommentoi

Kirjaudu sisään kommentoidaksesi.

1. 27.7.2015, klo 21:04

   Kirjaudu sisään vastataksesi

   Merkitys

   iPhonen hinnalla saa kuitenkin kolme android-puhelinta, joten mitä väliä vaikka yhden android-puhelimen saisikin joku kräkkeri haltuunsa. On kuitenkin epätodennäköistä, että sama henkilö joutuisi uudelleen uhriksi heti toisen kerran.

2. 27.7.2015, klo 21:27

   Kirjaudu sisään vastataksesi

   Jaska

   Voi ei.

3. 27.7.2015, klo 21:39

   Kirjaudu sisään vastataksesi

   kroisantti kakkonen

   Kyllä android on surkeeta paskaa, varsinkin Samsungin roskat.

   • 27.7.2015, klo 23:07

     Kirjaudu sisään vastataksesi

     Miku

     Sehän on sitten vähän niin kuin sinä. Ei kun mitä?

   • 27.7.2015, klo 23:11

     Kirjaudu sisään vastataksesi

     semmo

     Kyllä sää vaan jaksat!

4. 27.7.2015, klo 23:07

   Kirjaudu sisään vastataksesi

   Hannes

   Lähetätkö useinkin videoita viestillä?
   Tai katsotko jos tuntematon numero lähettää sinulle videon?
   -Et.
   -Et.
   Että semmonen turva aukko :)

   • 27.7.2015, klo 23:09

     Kirjaudu sisään vastataksesi

     Hannes

     Tosin, voi voi hangoutsin käyttäjät :D
     (Mutta eihän sitä kukaan oikeasti käytä)

   • 28.7.2015, klo 02:53

     Kirjaudu sisään vastataksesi

     kk

     Puhelimen kaappaaminen ei edellytä mitään toimenpiteitä puhelimen käyttäjältä, reikä saadaan auki lähettämällä vain sopiva mms-viesti uhrin puhelimeen.

     • 29.7.2015, klo 00:28

       Kirjaudu sisään vastataksesi

       Miku

       Sori, mutta mainitsemallasi tavalla vain Google Hangoutsin käyttäjille. Muut joutuvat avaamaan multimediaviestin, jossa saastunut video on. Näin ollen pääsääntöisesti väitteesi ”puhelimen kaappaaminen ei edellytä mitään toimenpiteitä” on täysin väärä.

5. 28.7.2015, klo 01:50

   Kirjaudu sisään vastataksesi

   Osku

   ”After this story aired, Google said: ”We thank Joshua Drake for his contributions. The security of Android users is extremely important to us and so we responded quickly and patches have already been provided to partners that can be applied to any device.”

6. 28.7.2015, klo 08:31

   Kirjaudu sisään vastataksesi

   Abc

   Kaikki käsi ylös ketkä yllätty tästä!! ;D

7. 28.7.2015, klo 08:52

   Kirjaudu sisään vastataksesi

   make

   Tästä näyttää olevan nyt kaamea määrä FUD:ia liikkeellä… Uutisointi on tasoa ”haittaohjelma tekee mitä vaan”… Ja paskat tekee ;)

   Käytettävissä olevan tiedon perusteella Androidin /usr/bin/mediaserver komponentti tekee virheen sopivasti koostettua videotiedostoa käsitellessään (Viestiohjelma tai Hangouts käyttää tätä vaikkapa sen MMS liitteen esikatselua varten).

   Mediaserver ajetaan käyttäjänä ”media” ja sillä on uudemmissa laitteissa seLinux policy, jotka vahvasti rajoittavat, mitä kyseinen prosessi voi tehdä. Tätä taustaa vasten suuri osa esitetyistä väitteistä on fuulaa. Toki esimerkiksi mikrofonia voi kuunnella, koska kyseinen ohjelma on tarkoitettu nauhoittamaan ääntä.

   • 29.7.2015, klo 00:38

     Kirjaudu sisään vastataksesi

     ts

     Kerrankin jotain mielenkiintoista luettavaa – kielellä, jota voi jopa ymmärtää. Voisitko valaista hieman, mitä tuo mainitsemasi prosessi voi esimerkiksi näissä seLinux policylla varustetuissa, uudemmissa laitteissa tehdä, millä voisi olla jotain käytännön intressiä kuluttajaa ajatellen? Kuten vaikkapa tuo mikin kuuntelu, joka lienee varsin epämiellyttävää, mutta suurimmilta osin varmaankin vaaratonta loppupeleissä.