StageFright: ¿Alguien necesita los MMS en Android?

Con la llegada de BlackHat y Defcon todos los años la actualidad en el mundo de la seguridad informática y el hacking se acelera. Tanto, que casi no llegamos a tiempo de procesar todas las noticias que van surgiendo para entender los detalles de cada una de ellas. En esta ocasión le toca el turno a StageFright, nombre molón que ha recibido este bug - no tanto porque los investigadores hayan querido buscar un alias cool a su investigación sino - porque es la librería de Android que se ve afectada por los bugs que explotarán en su próxima presentación en Las Vegas. Eso sí, logo tenemos uno guay.

Figura 1: StageFright ¿Alguien necesita los MMS en Android?

Para hacer corta la explicación, el bug permite la ejecución arbitraria remota de código en cualquier dispositivo Android no parcheado por medio de un mensaje MMS malicioso. Esto, para los que no entienden la sutileza de los eufemismos en seguridad informática, viene a significar que cualquier atacante te puede enviar un mensaje MMS a tu dispositivo Android y, sin que tú hagas nada, el atacante va a poder ejecutar un programa que será un software de control remoto de tu dispositivo (una R.A.T. "Remote Administration Tool") que le servirá para que tu Android sea parte de una botnet o para meterte una shell y ejecutar comandos a gusto, o para meter un software de espionaje del dispositivo.

El bug de StageFright en Android

Dicho esto, aunque los investigadores han hecho un Responsible Disclosure y han comunicado todo antes a los ingenieros de Google para que lo solucionen - ya están parcheadas las últimas versiones -, aún se han hecho públicos los detalles técnicos para sacar un exploit que pueda ser utilizado en frameworks como Metasploit y, lo que va a ser peor, en plataformas de spyware com Hacking Team RCS o FinSpy de FinFisher, es lo que tiene.

Figura 2: Librerías Statefright escritas en C++

Sin embargo, no habrá que esperar mucho y seguro que ya alguno ha dado con ello, pues se sabe que la librería está escrita en C++ y se trata de un problema en la gestión de la memoria - como no -, algo que los que se dedican a hacer exploiting de Linux sabrán como localizar en breve.

Proteger tu Android contra StageFright

La fragmentación que hay en Android hará que al final, muchos de las versiones de los sistemas operativos quedarán sin parche oficial, así que tendrás que tomar medidas para solucionarlo. Algunas de ellas pasan por buscar una alternativa como CyanogenMod para conseguir actualizar el dispositivo móvil a pesar de que no exista una distribución oficial del fabricante y las otras... por matar el MMS en tu dispositivo.

Al final, la felicidad es saber valorar lo bueno que hay en una relación y no dejar que lo que no tienes te impida disfrutar de todo lo que sí que tienes. En Android tienes infinidad de formas de comunicarte con mensajes, como WhatsApp, SMS, Facebook Messenger, Line, WeChat, Kik Messenger o SpotBros por citar algunos, por lo que ... ¿quién va a echar de menos al MMS?

Figura 3: Deshabilitar carga automática de MMS en Android Messaging

Si tienes un terminal Android tienes que conseguir desactivar los MMS, desactivar la carga automática de MMS - para que sí que haya necesidad de que sea manualmente la cargar de los mismos -, desactivar la recepción de envío de MMS desde remitentes desconocidos o si no... quitar las apps de mensajería que uses y poner la clásica Android Messaging que sí que lo permite, tal y como explican en Naked Security.

Figura 4: Deshabilitar carga automática de MMS en Hangouts de Android

Ten por seguro que, en cuanto se publiquen los detalles del bug, habrá muchos haciéndose botnets de Android con este exploit. ¿Estás listo para vivir sin MMS y disfrutar del resto de cosas que existen para enviar y recibir mensajes en Android? El bug es crítico pero el punto dónde se produce es prescindible.

Actualización: Investigadores de Trend Micro apuntaron nuevas formas de explotar este bug, mediante un archivo multimedia enviado por cualquier canal y reproducido por el usuario e incluso mediante un correo electrónico en HTML que lanzara la ejecución, así que parchea... o sufre.

Saludos Malignos!