Une vulnérabilité Android permet aux hackers d'installer des logiciels malveillants via MMS

Table des matières

• Stagefright 2 : Une autre vulnérabilité Android dans Mediaserver permet aux hackers d’installer des logiciels malveillants via message multimédia
• Comment cela fonctionne
• Preuve de concept

Stagefright 2 : Une autre vulnérabilité Android dans Mediaserver permet aux hackers d’installer des logiciels malveillants via message multimédia

La vulnérabilité Stagefright dans le système d’exploitation Android de Google a récemment fait la une des journaux en raison du fait qu’un grand nombre de smartphones (plus de 1 milliard) sont vulnérables à cette attaque. Depuis que Zimperium a découvert les 6 vulnérabilités Stagefright liées à Mediaserver dans les appareils Android, Trend Microlabs a trouvé une autre vulnérabilité appelée Silent Attack qui peut rendre les smartphones Android silencieux ou en boucle de redémarrage après qu’un hacker envoie un message multimédia spécialement conçu.

Google a essayé de corriger la vulnérabilité Stagefright, mais il semble que le correctif à moitié cuit avait ses propres vulnérabilités et nous devrons attendre septembre 2015 pour qu’un correctif complet de Stagefright soit publié.

En attendant, TrendMicro Labs a découvert une autre vulnérabilité dans le mediaserver Android qui permet aux hackers d’installer un logiciel malveillant en envoyant un message texte multimédia spécialement conçu. Comme pour les autres vulnérabilités Stagefright, cette vulnérabilité affecte presque tous les smartphones Android à partir de la version Android 2.3 Gingerbread jusqu’à la version 5.1.1 Lollipop.

La vulnérabilité, qui est une extension de Stagefright, a été jugée critique et a été attribuée au CVE-2015-3842.

Comment cela fonctionne

Trend indique que cette vulnérabilité implique AudioEffect, un composant du programme mediaserver. Il utilise une variable non vérifiée qui provient du client, qui est généralement une application. Pour qu’une attaque commence, les attaquants convainquent la victime d’installer une application qui ne nécessite aucune autorisation requise, leur donnant un faux sentiment de sécurité.

Preuve de concept

Les chercheurs de Trend Micro Labs ont testé le PoC en utilisant un Google Nexus 6 fonctionnant sous Android 5.1.1 Build LMY47Z. Ci-dessous se trouve une partie du code source en langage Java du PoC.

Dans le PoC, lorsque l’application est en cours d’exécution, le composant mediaserver se bloque à une fonction aléatoire. Si le composant mediaserver ne se bloque pas, l’application PoC peut être fermée et relancée.

Les hackers peuvent contrôler comment ils souhaitent attaquer le smartphone cible. Le malveillant peut décider quand commencer l’attaque et quand l’arrêter. Un attaquant serait en mesure d’exécuter son application malveillante avec les mêmes autorisations que celles que mediaserver a déjà dans le cadre de ses routines normales. Étant donné que le composant mediaserver s’occupe de nombreuses tâches liées aux médias, y compris la prise de photos, la lecture de fichiers MP4 et l’enregistrement de vidéos, la vie privée de la victime peut être en danger. Les appareils avec des versions personnalisées d’Android mais sans modification apportée au composant mediaserver sont également affectés.

Trend Micro Labs a déclaré avoir informé Google de cette vulnérabilité et Google a publié un correctif pour celle-ci via le projet Android Open Source Project (AOSP). Trend a également déclaré qu’il n’avait pas encore remarqué que la vulnérabilité était exploitée dans la nature.

Mais comme c’est le cas avec toutes les vulnérabilités Android, un grand nombre de versions en circulation signifie que le correctif ne parvient pas à l’utilisateur final, les rendant vulnérables à cette vulnérabilité et à d’autres. Étant donné que cette vulnérabilité et d’autres vulnérabilités Stagefright affectent environ plus d’un milliard de smartphones Android en circulation, il se peut que cela ne prenne pas longtemps avant qu’un cybercriminel ne l’exploite pour accéder au smartphone de la victime.