850 миллионов Android-устройств все еще уязвимы для Stagefright

25.03.2016 | 00:58 Экономика

Эксперты по безопасности говорят, что защита страдает из-за фрагментированной экосистемы Android.

Более 850 миллионов Android-устройств по-прежнему потенциально подвержены угрозе со стороны печально известной уязвимости Stagefright, в результате чего большое количество смартфонов и планшетов находятся под угрозой угона с помощью инъекций вредоносных программ.

Баг Stagefright стал известен в прошлом году после обнаружения исследователем Zimperium Джошуа Дрейком, и назван одной из «худших уязвимостей Android, обнаруженных на сегодняшний день».

Данной уязвимости подвержены любые Android-устройства под управлением Android 2.2 и выше. Она позволяет злоумышленникам брать устройства под свой контроль тайно от пользователя. Это происходит с помощью встроенной медиа-библиотеки Android, которая может быть использована для запуска вредоносного кода, способного дать хакеру доступ ко всем файлам пользователя.

Google постоянно выпускает патчи, обновления и другие исправления, но исследователи Zimperium предупреждают, что сотни миллионов смартфонов и планшетов, работающих под управлением Android, по-прежнему остаются уязвимыми перед Stagefright.

Компания мобильной безопасности считает, что от 600 млн до 857 млн из примерно 1.4 млрд — 2 млрд Android-устройств в мире по-прежнему остаются уязвимыми. Эти цифры основаны на анализе Android-устройств, 43% из которых были признаны уязвимыми для бага CVE-2015-3864, несмотря на обновления Google.

Частично проблема существует из-за производителей оборудования, которые выпускают обновления, предназначенные для исправления Stagefright. На самом деле, они подвергают пользователей опасности перед другими штаммами уязвимости, а не защищают от нее. Sony, Motorola, Samsung, Asus, LG и Huawei нечаянно совершили эту ошибку, увеличив потенциальную опасность для пользователей подвергнуться нападению.

Zimperium также выражает озабоченность по поводу новых Stagefright-уязвимостей — таких, как Metaphor, которая была обнаружена в этом месяце. Патчи выпускаются очень медленно, и только небольшое количество устройств получают обновления.

Google хочет решить эту проблему с введением Android N, но исследователи отмечают, что «пройдет несколько лет до того момента, когда вся экосистема будет работать под управлением Android N+».

Существует также проблема старых устройств Android, не способных работать с более новыми версиями операционной системы. Это значит, что они останутся уязвимыми для атак, так как они не в состоянии получать патчи.

Устройства также остаются непропатченными из-за фрагментированного характера экосистемы Android, в которой работают большое количество мобильных операторов. В то время как Google выпускает ежемесячные обновления для обеспечения защиты от Stagefright, производители медленно утверждают и осуществляют модернизацию, в результате чего их пользователи легко становятся жертвами.

Фирма также предлагает операторам связи и производителям ПО для обмена мгновенными сообщениями «быть готовыми блокировать SMS-сообщения со ссылками в том случае, если червь начнет распространяться».