Android podatny na atak. Wystrzegaj się filmów z nieznanych źródeł

Jeśli masz smartfon z Androidem, sprawdź wersję systemu. W systemie została odkryta luka, pozwalająca przejąć kontrolę nad urządzeniem z użyciem filmu.

Luka znajduje się w trzech ostatnich wersjach Androida: 7.0 Nougat, 8.0 Oreo i 9.0 Pie.

Jeśli korzystasz z jednej z tych wersji, jak najszybciej zainstaluj nowe poprawki bezpieczeństwa. Wersję możesz sprawdzić w menu Ustawienia → System → Informacje o urządzeniu. Dokładne informacje o najnowszej aktualizacji znajdziesz w tym samym menu pod hasłem „Aktualizacja Oprogramowania”.

Luka [url=]CVE-2019-2107[/url] pozwala cyberprzestępcom zdalnie wykonać kod na atakowanym Smartfonie z Androidem. Jak zwykle w takich przypadkach, wymaga to specjalnie spreparowanego pliku. Tym razem musi to być plik zawierający film z dołączonym szkodliwym kodem.

Gdy plik zostanie odtworzony, przeprowadzony zostanie atak, a cyberprzestępcy uzyskają zdalny dostęp do urządzenia. Jest to możliwe dzięki błędowi funkcji ihevcd_parse_pps, wywoływanej przy odtwarzaniu filmów zakodowanych przez kodek HVEC (H.265 i MPEG-H Part 2) z użyciem domyślnego odtwarzacza Androida.

Ataku nie da się przeprowadzić, odtwarzając filmy z usług, które ponownie kodują materiał. Możesz więc czuć się bezpiecznie, korzystając z YouTube'a, Facebooka, Messengera czy WhatsAppa, co potwierdził Lukas Stefanko z firmy ESET.

Prawdopodobnie najlepszym wektorem ataku byłoby wysłanie krótkiego filmu e-mailem. Jeśli użytkownik nie zmieni ustawień, Gmail otworzy taki film w domyślnym odtwarzaczu Androida.

Luka została już załatana przez Google. Odpowiednia poprawka została wydana 5 lipca i warto ją zainstalować, gdy tylko będzie dostępna dla twojego smartfonu. Poza opisaną wyżej podatnością łata też dwie inne luki w systemie obsługi multimediów. Nie ma dowodów na to, że luka została wykorzystana do rozsyłania malware'u, mimo że podatnych urządzeń jest mnóstwo.

Jeśli interesuje cię techniczna strona ataku, możesz zobaczyć przykład przygotowany przez Marcina Kozłowskiego. Kod znajduje się na GitHubie.