Quadrooter sårbarhed: 5 ting at vide om denne Android-sikkerhedsskrækning

Igen er det Android-sikkerhedsskrækkesæson. I morges brød nyheder om den nyeste samling af sårbarheder, der blev opdaget af sikkerhedsfirmaet Check Point og samlet under den iørefaldende monicker "QuadRooter." Som sædvanligt har de fleste rapportering fokuseret på worst-case scenarier og et chokerende stort antal potentielt sårbare enheder - i dette tilfælde anslået 900 millioner.

Vi vil nedbryde nøjagtigt, hvad der foregår, og hvor sårbare du sandsynligvis vil være. Læs videre.

1. Det er en Qualcomm-ting

Check Point målrettede specifikt Qualcomm på grund af sin dominerende position i Android-økosystemet. Da så mange Android-telefoner bruger Qualcomm-hardware, bidrager driverne Qualcomm til softwaren på disse telefoner til et attraktivt mål - et enkelt sæt sårbarheder, der påvirker en stor del af Android-brugerbasen. (Bugserne påvirker specifikt netværk, grafik og hukommelsestildelingskode.)

Qualcomms chauffører er et stort, attraktivt mål.

Alle fire udnyttelser, der udgør QuadRooter, påvirker Qualcomm-drivere, så hvis du har en telefon, der overhovedet ikke bruger Qualcomm-hardware - for eksempel en Galaxy S6 eller Note 5 (som bruger Samsungs egen Exynos-processor og Shannon-modem), ' er ikke berørt af dette.

2. Det er alvorligt, men der er ingen bevis for, at det bruges i naturen

Som navnet antyder er QuadRoot en samling af fire udnyttelser i Qualcomms kode, som kunne give en ondsindet app mulighed for at få rodprivilegier - dvs. adgang til stort set at gøre noget på din telefon. Derfra kan du drømme om et vilkårligt antal mareridt-scenarier: angribere, der lytter til på telefonopkald, spionerer gennem dit kamera, samler økonomiske detaljer eller låser dine data med ransomware.

Ingen taler om, at disse udnyttelser bliver brugt i naturen endnu, hvilket er en god ting. (Check Point estimerer, at de onde fyre vil have det pakket til fungerende malware inden for tre eller fire måneder.) Dog i betragtning af de udfordringer, der er forbundet med at opdatere softwaren på de milliarder plus Android-enheder derude, vil malware-skabere have masser af tid til at finde ud af ud af en praktisk anvendelse.

Men…

3. Chancerne er, at du faktisk ikke er "sårbar"

QuadRooter er et af de mange Android-sikkerhedsproblemer, der kræver, at du manuelt installerer en app. Det betyder manuelt at gå ind i sikkerhedsindstillinger og skifte til afkrydsningsfeltet "Ukendte kilder".

Enhver vuln, der kræver, at du manuelt installerer en app, løber ind i to større vejspærringer: Play Store og Android's indbyggede "Verify Apps" -funktion.

I betragtning af at Check Point først afslørede sårbarhederne tilbage i april, har Google næsten helt sikkert scannet Play Store-apps efter disse udnyttelser i ganske lang tid. Det betyder, at du har det godt, hvis du som de fleste kun downloader apps fra Play Store.

Og selvom du ikke gør det, er Android's funktion "Bekræft apps" designet til at fungere som et ekstra lag med beskyttelse, idet du scanner apps fra tredjepartskilder efter kendt malware, før du installerer. Denne funktion er som standard aktiveret i alle Android-versioner siden 2012's 4.2 Jelly Bean, og fordi den er en del af Google Play Services, opdateres den altid. Som af den nyeste tilgængelige statistik kører mere end 90 procent af de aktive Android-enheder version 4.2 eller nyere.

Vi har ikke eksplicit bekræftelse fra Google om, at "Verify Apps" scanner efter QuadRooter, men i betragtning af at Google blev informeret for måneder siden, er chancerne for, at det er tilfældet. Og hvis det er tilfældet, vil Android identificere enhver QuadRooter-havneapp som skadelig og vise en stor skræmmende advarselskærm, inden du lader dig komme nogen steder i nærheden af ​​at installere den.

Opdatering: Google har bekræftet, at Verify Apps kan registrere og blokere QuadRooter.

I dette tilfælde er du stadig "sårbar?" Teknisk set. Du kan tænkes at gå til Sikkerhedsindstillinger, aktivere ukendte kilder og derefter ignorere advarslen på fuld skærm om, at du er ved at installere malware og deaktivere endnu en sikkerhedsindstilling andetsteds. Men på det tidspunkt er det i vid udstrækning på dig.

4. Android-sikkerhed er hård, selv med månedlige programrettelser

Et interessant aspekt af QuadRooter-sagaen er, hvad den viser os om de Android-sikkerhedsudfordringer, der stadig er tilbage, selv i en verden af ​​månedlige sikkerhedsrettelser. Tre af de fire sårbarheder er rettet i de seneste patches i august 2016, men den ene er tilsyneladende gled gennem revnerne og vil ikke blive rettet før september-lappen. Det er grund til legitim bekymring, da oplysning skete tilbage i april.

En Qualcomm-repræsentant fortalte imidlertid ZDNet, at chipmakeren havde udstedt egne lapper til producenterne mellem april og juli, så det er muligt, at visse modeller muligvis er blevet opdateret uden for Google-lappemekanismen. Dette understreger kun den forvirring, der er forbundet med at have et eksplicit patch-niveau fra Google, mens enhedsproducenter og komponentproducenter også leverer sikkerhedsrettelser.

De fleste Android-telefonproducenter suger ved at udstede sikkerhedsrettelser. Og selv up-to-date enheder bliver ikke fuldstændigt opdateret i endnu en måned.

Foreløbig er den eneste måde at vide, om din telefon teoretisk er sårbar, at downloade Check Point's QuadRoot-scanner-app fra Play Store.

Selv når patches er udstedt, er de nødt til at gå gennem enhedsproducenter og transportører, før de skubbes ud til telefoner. Og selvom nogle virksomheder som Samsung, BlackBerry og (naturligvis) Google har været hurtige med at sørge for, at de nyeste programrettelser er tilgængelige, er de fleste af de mennesker, der fremstiller Android-enheder, intetsteds tæt på - især når det gælder ældre eller billigere telefoner.

QuadRooter understreger, hvordan forekomsten af ​​Qualcomm-baserede Android-enheder gør dem til et attraktivt mål, mens forskellige hardware som helhed gør det muligt at opdatere dem alle næsten umulige.

5. Vi har været her før

• Fangende marketing navn? Kontrollere.
• Stort skræmmende antal "sårbare" enheder? Kontrollere.
• Gratis detekterings-app, som et sikkerhedsfirma kører med et produkt til salg? Kontrollere.
• Intet bevis for brug i naturen? Kontrollere.
• Tryk stort set på at ignorere Play Store og bekræfte apps som en vejspærring mod app-baserede udnyttelser? Kontrollere.

Det er den samme dans, som vi holder hvert år omkring sikkerhedskonference tid. I 2014 var det Fake ID. I 2015 var det Stagefright. Desværre har forståelsen af ​​Android-sikkerhedsspørgsmål i medierne i vid udstrækning været utilstrækkelig, og det betyder, at tal som de "900 millioner", der er berørt, hopper rundt i ekkokammeret uden kontekst.

Hvis du er smart med de apps, du installerer, er der ikke meget grund til at bekymre dig om. Og selvom du ikke er det, er chancerne for, at Play-tjenester er, og verificer, at Apps får ryggen.

MER: Android Malware - skal du være bekymret?