Geen bekende gevallen misbruik beruchte Stagefright-kwetsbaarheid

Wat is Stagefright?

In 2015 ontdekte beveiligingsbedrijf Zimperium dat er een aantal kwetsbaarheden zaten in de manier waarop Android mediabestanden opent. Doordat bestanden die zijn toegevoegd aan MMS’jes in de meeste gevallen automatisch gedownload en verwerkt werden op Android-toestellen, bleek het mogelijk om toestellen op afstand te hacken.

Bijna alle Android-toestellen waren op het moment dat deze Stagefright-lekken bekend werden kwetsbaar. Alle ophef die ontstond rondom Stagefright zorgde wel voor meer duidelijkheid over de beveiliging van Android. Google besloot de maandelijkse beveiligingsbulletins die het bedrijf uitbrengt voor partners openbaar te maken en tegelijkertijd maandelijkse beveiligingsupdates voor Nexus-toestellen (en later ook Pixel-toestellen) uit te brengen.

Naast Google zijn er andere fabrikanten als Samsung, LG en Moto (Lenovo) die op regelmatige basis beveiligingsupdates vrijgeven, voornamelijk voor toptoestellen. Voor consumenten is het duidelijker geworden over welke beveiligingsverbeteringen een toestel heeft, doordat nu bij de instellingen wordt weergegeven over welk ‘niveau van Android-beveiligingspatch’ een toestel beschikt. 

Geen bevestigde gevallen van misbruik

Ondanks dat er wel degelijk potentie was voor misbruik, is het aantal gevallen van toestellen die besmet werden met malware door de Stagefright-bug volgens Google nul. Tenminste, er zijn geen bevestigde gevallen van misbruik ‘in het wild’. Dat kan gedeeltelijk te maken hebben met het feit dat providers het automatisch binnenhalen van media-bijlages in MMS-bestanden uitschakelden.

Naast de maandelijkse beveiligingsupdates die de Stagefright-lekken dichtten, zijn er meer manieren waarop Google probeert Android-toestellen malwarevrij te maken Dat wordt onder andere gedaan door apps in de Google Play Store te scannen op malware en daarna ook nog in de gaten te houden, bijvoorbeeld door de apps op een virtuele smartphone te laten draaien en vervolgens te kijken of deze verbinding proberen te maken met bekende malware-bronnen. Ook apps die van buiten de Google Play Store komen worden, indien de gebruiker hier toestemming voor heeft gegeven, gescand door Google. Deze veiligheidsmaatregelen vallen onder het ‘Android safety net’, het vangnet voor Android.

Een slimme manier die Google gebruikt om kwaadaardige apps te detecteren is kijken welke apps het laatst geïnstalleerd zijn op toestellen niet ‘niet terugkomen’ bij Google. Dat gebeurt bijvoorbeeld wanneer een toestel wordt teruggezet naar de fabrieksinstellingen. Wanneer een gebruiker last heeft van reclame-pop-ups, zou hij er voor kunnen kiezen zijn toestel te resetten en wanneer veel gebruikers dit doen, is het mogelijk dit te koppelen aan de installatie van een bepaalde app.

Dat Google geen bevestigde gevallen van Stagefright-misbruik kent, wil overigens niet zeggen dat er geen misbruik van de kwetsbaarheden gemaakt is. Zo zijn er, voornamelijk in Azië, veel toestellen die geen gebruik maken van Google-diensten en waarbij apps niet gescand worden. Daarnaast worden vermoedelijk veel apps en games die illegaal verkregen zijn, niet gescand door Google omdat de gebruikers de scanfunctionaliteit uitgeschakeld hebben.

‘Mobiele malware is lastig’

Adrian Ludwig, hoofd beveiliging voor Android, geeft aan dat er maar weinig complexe malware voor Android en voor mobiele apparaten in het algemeen is. Dat heeft volgens hem te maken met dat het lastig is mobiele malware te ontwikkelen door alle beveiligingsmaatregelen. De app-winkels worden actief gecontroleerd en zelfs wanneer toestellen besmet raken, zijn de mogelijkheden tot uitbuiting vaak beperkt, geeft Ludwig aan.

Er zijn volgens hem dan ook weinig gevallen van malware die ‘stilletjes’ wordt geïnstalleerd via websites en MMS-berichten. Het grootste gedeelte van de mobiele malware is volgens Ludwig terug te vinden in illegale apps en games die door gebruikers worden geïnstalleerd die het risico bewust lopen. Daarbij zouden apps er zelden op uit zijn privégegevens buit te maken: de meeste malware-apps zouden alleen andere apps downloaden.

Het grootste misbruik heeft volgens Ludwig niet te maken met beveiliging, maar met social engineering. Er zijn veel advertenties voor nep-virusscanners en andere apps zonder daadwerkelijke functies. Vaak zijn deze apps voorzien van advertenties die weer voor inkomsten voor de ontwikkelaars zorgen. Het lijkt er in ieder geval op dat het veiligheidsnet voor Android op dit moment goed werkt.

Bron: The Register