Stagefright-lek: zo bescherm je jezelf

Wat is Stagefright en wat is er lek?

Stagefright is de naam van het multimediaframework van Android. Dit Android-onderdeel is verantwoordelijk voor het afspelen van een aantal videoformaten. Een groot gedeelte van Android is geschreven in de programmeertaal Java, maar een aantal onderdelen zijn geprogrammeerd in de taal C++. Dat laatste is gebeurd bij Stagefright, onder andere omdat C++ in het geval van het decoderen en encoderen van mediabestanden efficiënter is dan Java. C++ heeft echter als nadeel dat het eenvoudiger is om op bepaalde gebieden lekken te vinden door het geheugen te manipuleren en dat is precies waar onderzoekers van beveiligingsbedrijf Zimperium een aantal lekken in Stagefright hebben gevonden.

Door de lekken te manipuleren, is het mogelijk om op afstand in te breken op een Android-toestel. Dat wordt gedaan door het versturen van een speciaal geprepareerd mms-bericht (sms-bericht met video). Wanneer een aanvaller je telefoonnummer heeft, kan het versturen van een enkel bericht al voldoende zijn om volledige toegang tot het toestel te verkrijgen.

Bij ongeveer de helft van de Androidtoestellen worden mms-bestanden automatisch gedownload. Dat houdt in dat, indien het toestel kwetsbaar is voor het lek, aanvallers een hack kunnen uitvoeren zonder dat de gebruiker daar ook maar íets van merkt. Bij de andere helft van de toestellen moet het mms’je eerst geopend worden voordat de hack werkt. Die toestellen zijn dus wel kwetsbaar, maar alleen wanneer de gebruiker een mms-bericht van een onbekende opent.

Volgens Zimperium zijn de gevolgen van het lek het grootst op toestellen die op Android 4.0 of lager draaien. Op nieuwere toestellen zijn de misbruikmogelijkheden minder ernstig, maar nog steeds zorgbarend. Doordat het lezen van de mms-berichten op veel toestellen wordt uitgevoerd op systeemniveau, krijgt een aanvaller systeemrechten en kan hij veel (in sommige gevallen alle) data op een toestel inzien en alle instellingen aanpassen. Op andere toestellen wordt het lezen van de sms-berichten uitgevoerd als ‘media-gebruiker’, waarbij de aanvaller bijvoorbeeld ‘slechts’ de microfoon en camera’s in kan schakelen en de gebruiker af kan luisteren.

Is mijn toestel kwetsbaar?

Veruit de meeste Android-toestellen die op dit moment in omloop zijn, zijn kwetsbaar voor het lek. De onderzoekers van Zimperium hebben een app gemaakt die bekijkt of jouw toestel kwetsbaar is. Het lek wordt in ieder geval behoorlijk serieus genomen door Google en binnen 48 uur werden de gaten gedicht en verspreid aan partners. Google en Samsung zijn inmiddels begonnen met het uitrollen van beveiligingsupdates die het lek moeten dichten, maar de meeste toestellen zijn nog wel kwetsbaar.

Om te controleren of jouw toestel ook kwetsbaar is, installeer je de app van Zimperium vanuit de Google Play Store.

Hoe voorkom ik dat ik gehackt wordt?

Om écht te voorkomen dat je toestel hackbaar is door middel van het lek in Stagefright zal je toestel geüpdatet moeten worden. De komende tijd zullen alle Android-fabrikanten beveiligingsupdates voor hun toestellen uitbrengen. Het is echter mogelijk om te voorkomen dat mms-berichten automatisch opgehaald worden. Doordat een mms-bericht niet automatisch gedownload wordt, moet je als gebruiker eerst handmatig het mms-bericht openen voordat er misbruik van het lek gemaakt kan worden. Door geen mms-berichten van onbekenden te openen, is jouw toestel relatief veilig.

Als je Hangouts als sms/mms-app gebruikt, kun je als volgt het automatisch ophalen van mms-berichten uitschakelen. In de Hangouts-app ga je naar de instellingen en kies je ‘Sms’. Onder het kopje ‘Geavanceerd’ vind je dan de optie ‘Mms automatisch ophalen’ en daar zorg je dat deze niet ingeschakeld is.

Als je de Berichten-app van Samsung als sms/mms-app gebruikt, kun je het automatisch ophalen van mms-berichten uitschakelen door naar ‘Meer’–> ‘Instellingen’–> ‘Meer instellingen’–> ‘MMS-berichten’ te gaan. Daar kun je de optie ‘Automatisch ophalen’ uitschakelen.

Als je de Berichten-app van HTC gebruikt, ga je via de drie puntjes naar ‘Instellingen’–> Multimediaberichten (MMS) en daar kun je de optie ‘Automatisch ophalen’ uitschakelen.

Als je de Berichten-app van Sony gebruikt, ga je via de drie puntjes naar ‘Instellingen’. Daar kun je de optie ‘Automatisch downloaden’ uitschakelen.

Het is ook mogelijk om het kunnen ontvangen van mms-berichten volledig uit te schakelen op jouw toestel. De ontdekker van het lek heeft in samenwerking met het beveiligingsteam van Samsung KNOX een app gemaakt die de ontvangst van mms-berichten uitschakelt. Het is dan nog wel mogelijk om berichten te versturen. Wanneer het lek gedicht is, kan de ontvangst weer worden ingeschakeld. De app, MMSCtrl, is hier te downloaden.

Geen 100% bescherming

Tot de fabrikanten hun toestellen hebben voorzien van een update, is er geen 100% bescherming tegen dit lek. Om er voor te zorgen dat dit soort kritieke beveiligingsproblemen sneller verholpen worden, zal Google zijn Nexus-toestellen elke maand voorzien van beveiligingsupdates. Ook Samsung wil maandelijks een beveiligingsupdate voor (een gedeelte van) zijn toestellen gaan uitbrengen en werkt hiervoor samen met verschillende providers wereldwijd.