غالب گوشی‌های آندروید با یک پیام ساده MMS هک می‌شوند

تحقیق انجام شده نشان می‌دهد، عوامل زیادی برای پیاده‌سازی حمله وجود دارند، به‌دلیل این‌که سیستم‌عامل آندروید محتوای چندرسانه‌ای را از هر منبعی که از طریق این چارچوب اجرا شده باشد دریافت می‌کند. این کتابخانه تنها برای اجرای فایل‌های چندرسانه‌ای نیست، بلکه به‌طور خودکار توانایی تولید یا استخراج متادیتاهایی همچون اندازه، ارتفاع، عرض، نرخ فریم، کانال‌ها یا اطلاعات مشابه را از فایل‌های صوتی و تصویری دارد. در نتیجه کاربران لازم نیست حتما فایل‌های چندرسانه‌ای مخرب که این آ‌سیب‌پذیری‌ها روی آن‌ها وجود دارد را اجرا کنند، بلکه کپی کردن فایل‌ها روی سیستم فایلی هم کافی است. محققان هنوز با اطمینان نمی‌توانند اعلام کنند چه تعداد برنامه کاربردی از Stagefright استفاده می‌کنند، اما بر این باور هستند که هر برنامه‌ای که توانایی اداره کردن فایل‌های چندرسانه‌ای را در آندروید داشته باشد و از این مؤلفه به روش‌های دیگری استفاده کند، در معرض خطر قرار دارد. فاکتور حمله MMS بسیار خطرناک‌تر از دیگر انواع حملات است، به‌دلیل این‌که نیازی به تعامل با کاربر ندارد، تنها لازم است تا تلفن پیام مخرب را دریافت کند.

به‌طور مثال، حمله‌کننده می‌تواند یک پیام مخرب MMS را زمانی‌که قربانی در خواب به سر می‌برد و زنگ تلفن در حالت سکوت قرار دارد، ارسال کند. بعد از آن‌که اکسپلویت انجام شد، می‌توان پیام را حذف کرد، در نتیجه قربانی هرگز نمی‌داند چه کسی تلفن او را هک کرده است. این محقق تنها اقدام به کشف آسیب‌پذیری‌ها نکرده است، بلکه وصله‌های لازم را طراحی کرده و آن‌ها را با گوگل به‌اشتراک قرار داده است. گوگل این مشکل را جدی فرض کرده و وصله‌ها را در قالب کدهای آندروید، 48 ساعت بعد از آن‌که آن‌ها را از دریک دریافت کرد مورد استفاده قرار داد. ‌این قطعه کد قبل از آن‌که به‌صورت عمومی به‌عنوان بخشی از پروژه منبع باز آندروید (AOSP) منتشر شود، با سازندگان دستگاه‌هایی که در برنامه آندروید مشارکت دارند، به‌اشتراک گذاشته شده است. متأسفانه به دلیل این‌که چرخه به‌روزرسانی آندروید به کندی پیش می‌رود هنوز هم 95 درصد از دستگاه‌های آندرویدی به این آسیب‌پذیری آلوده هستند. حتا در خط تولید دستگاه‌های Goolge’s Nexus که عمدتا زودتر از دیگران به‌روزرسانی‌ها را دریافت می‌کنند نیز تنها نکسوس 6 تعدادی از این وصله‌ها را دریافت کرده و تا حدودی ایمن شده است. چندین ماه طول می‌شود تا وصله‌های آندروید به دست کاربران نهایی دستگاه‌ها برسد. به دلیل این‌که بیشتر سازندگان زمانی‌که کدهای گوگل را دریافت می‌کنند، آن‌ها را در مخازن خودشان قرار داده، نسخه‌های جدیدی از سفت‌افزارها را برای مدل‌های دستگاه‌های خودشان طراحی کرده، آن‌ها را مورد آزمایش قرار داده و بعد از پشت سر گذاشتن آزمایش‌های فنی آن‌ها را در اختیار مصرف‌کنندگان خود قرار می‌دهند. آسیب‌پذیری‌های شناسایی شده توسط دریک روی دستگاه‌هایی که آندروید نسخه 2.2 و بالاتر از آن‌را مورد استفاده قرار می‌دهند وجود دارد. تحقیقات به عمل آمده از سوی دریک نشان می‌دهد، تنها بین 20 تا 50 درصد از دستگاه‌های آندرویدی که این روز‌ها مورد استفاده قرار می‌گیرند، وصله‌های لازم را در خصوص آسیب‌پذیری‌های امنیتی دریافت کرده‌اند. دریک در یادداشت خود نوشته است: « از این موضوع شگفت‌زده شده‌ام که 50 درصد از دارندگان دستگا‌ه‌های آندروید تصور می‌کنند در امنیت کامل به‌سر برده و خطری آن‌ها را تهدید نمی‌کند! » گوگل در اعلامیه‌ای از تحقیقات دریک و همکاری او در خصوص ارائه وصله‌ها تشکر کرده است.

گوگل می‌گوید: «بیشتر دستگاه‌های آندرویدی امروزی و دستگا‌ه‌هایی که هر روزه تولید می‌شوند از فناوری‌های مختلفی استفاده می‌کنند که همین موضوع شناسایی اکسپلویت‌ها را روی آن‌ها سخت می‌کند. دستگا‌ه‌های آندرویدی مجهز به یک برنامه سندباکس هستند که از داده‌های کاربر و برنامه‌های او محافظت به‌عمل می‌آورند. بهره‌برداری و کاری که هکرها بعد از کشف اکسپلویت‌های انجام می‌دهند از دستگاهی به دستگاه دیگر متفاوت است.» کدهای مخرب با مجوزهای چارچوب Stagefright اجرا می‌شوند که این سطح مجوز روی یک دستگا‌ه ممکن است فراتر از دیگر دستگاه‌ها باشد. در حالت کلی هکرها با استفاده از این آسیب‌پذیری‌ها توانایی دسترسی به میکروفون، دوربین و پارتیشن خارجی ذخیره‌سازی را خواهند داشت، اما توانایی نصب برنامه‌ها یا دسترسی به داده‌های داخلی دستگاه را نخواهند داشت.

دریک می‌گوید: «50 درصد از دستگاه‌های آلوده این چارچوب را با مجوزهای سیستمی اجرا می‌کنند که همین موضوع باعث می‌شود دسترسی به ریشه و کنترل کامل دستگاه در اختیار هکرها قرار گیرد. در دستگاه‌های دیگر هکرها مجبور هستند، یک مجوز جداگانه را برای بهره‌برداری از این اکسپلویت به دست آورند.»

به‌دلیل این‌که وصله‌های عرضه شده برای این رخنه‌ها در AOSP نیست، در نتیجه سازندگان دستگاه‌هایی که شرکای گوگل به‌شمار نمی‌روند هنوز به این وصله‌ها دسترسی ندارند. در نتیجه سازندگان ثالثی که سفت‌افزار آن‌ها بر مبنای CyanogenMod قرار دارد، همچنان به این آسیب‌پذیری‌ها آلوده هستند. دریک به‌طور اختصاصی این وصله‌ها را با دیگر سازندگان همچون Silent Circle و Mozilla به‌اشتراک قرار داده است.

دریک جزییات مربوط به این آسیب‌پذیری را در قالب یک کد اکسپلویت مفهومی در کنفرانس امنیتی Black Hat که روز 5 آگوست برگزار شد منتشر ساخت.