Android a un énorme bug de sécurité dans un composant appelé "Stagefright". Le simple fait de recevoir un message MMS malveillant peut entraîner votre téléphone est compromis. Il est surprenant que nous n'ayons pas vu un ver se propager d'un téléphone à un autre comme les vers le font au début de Windows XP - tous les ingrédients sont là.

C'est en fait un peu pire que ça en a l'air. Les médias se sont largement concentrés sur la méthode d'attaque MMS, mais même les vidéos MP4 intégrées dans des pages Web ou des applications pourraient compromettre votre téléphone ou votre tablette.

Pourquoi le défaut Stagefright est dangereux - Ce n'est pas seulement MMS

attaque "Stagefright", mais il s'agit en réalité d'une attaque sur un composant sous Android nommé Stagefright. Ceci est un composant de lecteur multimédia dans Android. Il a une vulnérabilité qui peut être exploitée - le plus dangereusement via un MMS, qui est un message texte avec des composants multimédia embarqués.

De nombreux fabricants de téléphones Android ont choisi de donner des permissions système à Stagefright. L'exploitation de Stagefright permet à un attaquant d'exécuter du code arbtirary avec les permissions "media" ou "system", selon la façon dont le périphérique est configuré. Les permissions du système permettraient à l'attaquant d'accéder à son appareil. Zimperium, l'organisation qui a découvert et signalé le problème, offre plus de détails.

Les applications de messagerie texte Android classiques récupèrent automatiquement les messages MMS entrants. Cela signifie que vous pourriez être compromis simplement par quelqu'un qui vous envoie un message sur le réseau téléphonique. Avec votre téléphone compromis, un ver utilisant cette vulnérabilité pourrait lire vos contacts et envoyer des messages MMS malveillants à vos contacts, se répandant comme un feu de forêt comme le virus Melissa en 1999> en utilisant Outlook et les contacts e-mail. était le vecteur le plus potentiellement dangereux dont Stagefright pourrait tirer parti. Mais ce n'est pas seulement MMS. Comme l'a fait remarquer Trend Micro, cette vulnérabilité se trouve dans le composant "mediaserver" et un fichier MP4 malveillant intégré à une page Web pourrait l'exploiter - oui, simplement en naviguant vers une page Web de votre navigateur Web. Un fichier MP4 intégré dans une application qui veut exploiter votre appareil pourrait faire la même chose.

Votre Smartphone ou tablette est-il vulnérable?

Votre appareil Android est probablement vulnérable. Quatre-vingt-quinze pour cent des appareils Android dans la nature sont vulnérables à Stagefright.

Pour vérifier à coup sûr, installez l'application Stagefright Detector depuis Google Play. Cette application a été faite par Zimperium, qui a découvert et signalé la vulnérabilité Stagefright.

Comment prévenir les attaques Stagefright si vous êtes vulnérable

Autant que nous le sachions, les applications antivirus Android ne vous sauveront pas des attaques Stagefright. Ils n'ont pas nécessairement assez d'autorisations système pour intercepter les messages MMS et interférer avec les composants du système. Google ne peut pas non plus mettre à jour le composant Google Play Services sur Android pour corriger ce bug, une solution disparate souvent utilisée par Google lorsque des failles de sécurité apparaissent.

Pour éviter de vous compromettre, vous devez empêcher votre application de messagerie de choisir de télécharger et de lancer des messages MMS. En général, cela signifie désactiver le paramètre "MMS auto-retrieval" dans ses paramètres. Lorsque vous recevez un message MMS, il ne sera pas automatiquement téléchargé - vous devrez le télécharger en appuyant sur un espace réservé ou quelque chose de similaire. Vous ne serez pas en danger à moins que vous ne choisissiez de télécharger le MMS.

Vous ne devriez pas le faire. Si le MMS provient de quelqu'un que vous ne connaissez pas, ignorez-le définitivement. Si le MMS provient d'un ami, il est possible que son téléphone ait été compromis si un ver commence à décoller. Il est plus sûr de ne jamais télécharger de MMS si votre téléphone est vulnérable.

Pour désactiver la récupération automatique des messages MMS, suivez les étapes appropriées pour votre application de messagerie.

Messagerie

• (intégrée à Android): ouvrez la messagerie, appuyez sur le bouton de menu, puis sur Paramètres. Faites défiler jusqu'à la section "Multimédia (MMS) messages" et décochez "Récupération automatique". Messenger
• (par Google): Ouvrez Messenger, appuyez sur le menu, appuyez sur Paramètres, appuyez sur Avancé, et désactiver "Récupération automatique . Hangouts
• (par Google): ouvrez Hangouts, appuyez sur le menu et accédez à Paramètres> SMS. Décochez "Récupérer automatiquement SMS" sous Avancé. (Si vous ne voyez pas les options SMS ici, votre téléphone n'utilise pas Hangouts pour SMS. Désactivez le paramètre dans l'application SMS que vous utilisez à la place.) Messages
• (par Samsung): ouvrez Messages et accédez à Plus> Paramètres> Plus de paramètres. Appuyez sur Messages multimédia et désactivez l'option "Récupération automatique". Ce paramètre peut être différent sur différents appareils Samsung, qui utilisent différentes versions de l'application Messages. Il est impossible de créer une liste complète ici. Il suffit d'ouvrir l'application que vous utilisez pour envoyer des messages SMS (messages texte) et de rechercher une option qui désactivera "récupération automatique" ou "téléchargement automatique" des messages MMS.

Attention

: Si vous choisissez de télécharger un Message MMS, vous êtes toujours vulnérable. Et, comme la vulnérabilité Stagefright n'est pas seulement un problème de message MMS, cela ne vous protégera pas complètement de chaque type d'attaque. Quand votre téléphone obtient-il un correctif?

ASSOCIÉ:

Pourquoi votre Android? Le téléphone n'obtient pas les mises à jour du système d'exploitation et ce que vous pouvez en faire Plutôt que d'essayer de contourner le bogue, il serait préférable que votre téléphone reçoive une mise à jour qui l'a corrigé. Malheureusement, la situation des mises à jour Android est actuellement un cauchemar. Si vous avez un téléphone phare récent, vous pouvez probablement vous attendre à une mise à niveau à un moment donné - j'espère. Si vous avez un téléphone plus ancien, en particulier un téléphone bas de gamme, il y a de bonnes chances que vous ne receviez jamais une mise à jour

Nexus Devices

• : Google a maintenant publié des mises à jour pour Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 et Nexus 10. L'original Nexus 7 (2012) n'est apparemment plus supporté et ne sera pas corrigé Samsung
• : Sprint a commencé à pousser des mises à jour vers le Galaxy S5, S6, S6 Edge et Note Edge. Google a également déclaré à Ars Technica que "les appareils Android les plus populaires" recevraient la mise à jour en août, y compris:

Samsung

• : Le Galaxy S3, S4 et Note 4, en plus des téléphones ci-dessus. HTC
• : One M7, One M8 et One M9 LG
• : Le G2, G3 et G4. Sony
• : Le Xperia Z2, le Z3, le Z4 et le Z3 Compact. Appareils Android One
• pris en charge par Google Motorola a également annoncé qu'il allait patcher ses téléphones avec des mises à jour à partir du mois d'août. Moto X (1ère et 2ème génération), Moto X Pro, Moto Maxx / Turbo, Moto G (1ère, 2ème et 3ème génération), Moto G avec 4G LTE (1ère et 2ème génération), Moto E (1ère et 2ème génération) , Moto E avec 4G LTE (2e génération), DROID Turbo et DROID Ultra / Mini / Maxx.

Google Nexus, Samsung et LG se sont tous engagés à mettre à jour leurs téléphones avec des mises à jour de sécurité une fois par mois. Cependant, cette promesse ne s'applique réellement qu'aux téléphones phares et exigerait que les transporteurs coopèrent. On ne sait pas à quel point cela fonctionnerait. Les transporteurs pourraient potentiellement faire obstacle à ces mises à jour, et cela laisse encore un grand nombre - des milliers de modèles différents - de téléphones en usage sans la mise à jour.

Ou, installez CyanogenMod

CONNEXION:

8 Raisons pour installer LineageOS sur votre appareil Android CyanogenMod est une ROM personnalisée tierce d'Android souvent utilisée par les amateurs. Il apporte une version actuelle d'Android aux appareils que les fabricants ont cessé de prendre en charge. Ce n'est pas vraiment la solution idéale pour la personne moyenne car elle nécessite le déverrouillage du chargeur de démarrage de votre téléphone. Mais, si votre téléphone est pris en charge, vous pouvez utiliser cette astuce pour obtenir une version actuelle d'Android avec les mises à jour de sécurité actuelles. Ce n'est pas une mauvaise idée d'installer CyanogenMod si votre téléphone n'est plus supporté par son fabricant.

CyanogenMod a corrigé la vulnérabilité Stagefright dans les versions nocturnes, et le correctif devrait bientôt arriver à la version stable via une mise à jour OTA

Android a un problème: la plupart des périphériques n'obtiennent pas les mises à jour de sécurité

> Pourquoi les iPhones sont plus sûrs que les téléphones Android

C'est malheureusement l'un des nombreux trous de sécurité que les anciens appareils Android construisent. C'est juste un particulièrement mauvais qui attire plus d'attention. La majorité des appareils Android - tous les appareils fonctionnant sous Android 4.3 et plus anciens - ont un composant de navigateur Web vulnérable, par exemple. Cela ne sera jamais corrigé à moins que les périphériques ne soient mis à niveau vers une version plus récente d'Android. Vous pouvez vous protéger contre cela en exécutant Chrome ou Firefox, mais ce navigateur vulnérable sera toujours sur ces appareils jusqu'à ce qu'ils soient remplacés. Les fabricants ne sont pas intéressés à les maintenir à jour et maintenus, ce qui explique pourquoi tant de gens se sont tournés vers CyanogenMod. Google, les fabricants d'appareils Android, et les opérateurs de téléphonie mobile ont besoin de mettre de l'ordre, ou plutôt, pas de mise à jour - les appareils Android mènent à un écosystème Android avec des appareils qui créent des trous au fil du temps. C'est pourquoi les iPhones sont plus sécurisés que les téléphones Android - les iPhones reçoivent des mises à jour de sécurité. Apple s'est engagé à mettre à jour les iPhones plus longtemps que Google (téléphones Nexus uniquement), Samsung et LG sont également prêts à mettre à niveau leurs téléphones.

Vous avez probablement entendu dire que Windows XP est dangereux car il n'est plus mis à jour. XP va continuer à accumuler des failles de sécurité au fil du temps et devenir de plus en plus vulnérable. Eh bien, utiliser la plupart des téléphones Android est le même - ils ne reçoivent pas non plus de mises à jour de sécurité.

Certaines mesures d'atténuation pourraient empêcher un ver Stagefright de prendre le contrôle de millions de téléphones Android. Google fait valoir que ASLR et d'autres protections sur les versions plus récentes d'Android empêchent Stagefright d'être attaqué, et cela semble être partiellement vrai.

Certains transporteurs cellulaires semblent également bloquer le message MMS potentiellement malveillant de leur côté, les empêchant d'atteindre jamais les téléphones vulnérables. Cela empêcherait un ver de se propager via des messages MMS, au moins sur les opérateurs qui agissent.

Crédit d'image: Matteo Doni sur Flickr

Comment envoyer facilement des e-mails à des groupes de personnes dans Gmail

Les listes de diffusion sont un ancien outil dans l'arsenal des e-mails, mais leur implémentation dans Gmail n'est pas immédiatement intuitive. Continuez à lire comme nous vous montrons comment envoyer un courriel à des groupes en utilisant votre compte Gmail. Cher How-To Geek, Je vais probablement me frapper quand vous me montrerez à quel point c'est facile, mais maintenant je suis à perte: comment créer une liste de diffusion simple dans Gmail?

(how-to)

Utilisez-vous IPv6?

IPv6 est extrêmement important pour la santé à long terme d'Internet. Mais votre fournisseur de services Internet fournit-il encore la connectivité IPv6? Est-ce que votre réseau domestique le supporte? Si vous êtes encore intéressé par IPv6, Passer d'IPv4 à IPv6 donnera à Internet un plus grand nombre d'adresses IP.

(how-to)