Compromettere il proprio smartphone o tablet Android è più facile di quanto si possa credere. Infatti secondo quanto affermano alcuni esperti di sicurezza, è sufficiente collegarsi a un sito. Con Stagefright continuano ad essere a rischio milioni di dispositivi in tutto il mondo.

La società israeliana di ricerca software, NorthBit, ha pubblicato un rapporto a Marzo 2016 in cui sostiene che milioni di dispositivi Android possono essere vulnerabili ad attacchi hacker.

Secondo la ricerca di NorthBit, la falla nella sicurezza di Android si trova è legata a Stagefright, un motore di riproduzione di contenuti multimediali che viene integrato in Android ormai da alcune iterazioni e che continua a far parlare di sè, perchè non è la prima volta che permette mette in pericolo i dispositivi di milioni di utenti.

La falla segnalata da NorthBit nel mese di Marzo 2016, infatti, non è la prima che riguarda Stagefright e che Google si trova impegnata a risolvere. Nello scorso mese di ottobre (sotto i dettagli), è giunta notizia che oltre un miliardo di dispositivi Android potevano essere sfruttati attraverso una vulnerabilità della library multimediale.

Da allora Google ha rilasciato più patch, ma i problemi legati a Stagefright continuano.

I dispositivi Android a rischio.NorthBit dice che i dispositivi che eseguono Android in una versione compresa tra la numero 2.2 e 4.0 così come tra la 5.0 e 5.1 sono più sensibili al nuovo exploit. La ricerca ha stimato che ci sono circa 275 milioni di dispositivi che eseguono una versione che rientra tra quelle a rischio attacchi, anche se resta difficile stimare quanti di essi sono in pericolo – bisogna premettere ad esempio che non tutti i proprietari si connettono ad internet con lo smartphone, e questi non corrono rischi. Secondo quanto rivelato da NorthBit, si possono ritenere particolarmente vulnerabili agli attacchi i dispositivi Nexus 5, HTC One, LG G3 e Samsung S5.

Anche se un dispositivo è vulnerabile un hacker dovrebbe compiere diversi passaggi prima di riuscire ad entrare nel device e, se l’utente è abbastanza furbo, puo’ evitare spiacevoli conseguenze. Infatti, un hacker non puo’ bypassare la sicurezza di uno smartphone a meno che l’utente con venga ingannato con la richiesta di fare clic ad un collegamento che rimanda ad una pagina web infetta, la quale deve anche restare aperta per un certo periodo di tempo sufficientemente lungo perchè il virus riesca ad infettare lo smartphone.

NorthBit ha contattato Google, che adesso deve preparare l’ennesima patch per risolvere la falla in Stagefright.

Stagefright a ottobre 2015

Dopo nemmeno due mesi da quando Google e altri produttori di telefonia hanno rilasciato gli aggiornamenti di sicurezza con l’intento di correggere il bug Stagefright, nel mese di Ottobre 2015 l’allarme si è ripresentato. E’ arrivata infatti la versione 2.0 della minaccia legata a Stagefright, in grado di violare i dispositivi con Android 5.1 Lollipop e versioni precedenti.

La falla trovata in Stagefright nel mese di ottobre aveva ripercussioni con danni potenzialmente maggiori rispetto alla precedente. Se prima un malintenzionato poteva prendere il controllo di un telefono o di un tablet attraverso l’invio di un messaggio MMS, ora bastava molto meno.

La nuova falla sfruttava infatti due ‘buchi’ nel sistema operativo di Google, uno audio e l’altro video. Era sufficiente visitare un sito con un file MP3 o un MP4 perchè una persona esterna potesse prendere il controllo del sistema Android e cominciare a gestirlo, per esempio per installare dei programmi indesiderati o per ottenere informazioni personali dell’utente.

"Visitando un sito e riproducendo l’anteprima di una canzone o di un video infetti, si può dare la possibilità a un malintenzionato di ottenere l’accesso al dispositivo" ha affermato Mark James, esperto in sicurezza dell’ESET, al The Guardian. Questi, attraverso l’esecuzione di un codice da remoto, "in teoria potrebbe prendere il pieno accesso al dispositivo per fare potenzialmente qualsiasi cosa… come installare malware o rubare dati personali".

A rischio anche i telefoni che hanno avuto l’originale Stagefright e che se la sono cavata con una patch, come per esempio quelli della linea Nexus di Google o i Galaxy S6 di Samsung.

Il problema risiedeva nel sistema di gestione dei file multimediali di Android, che poteva essere aggirato. MP3 e MP4 sono i formati dei file audio e video più diffusi in assoluto.

"La prima versione aveva bisogno di alcune informazioni come il numero del telefono per essere in grado di inviare il messaggio", prosegue James. "Questa nuova versione invece per essere efficace non necessita di nulla". Proprio per questo motivo lo scorso ottobre a rischio c’erano ben più persone rispetto a prima, ovvero più di 1 miliardo di dispositivi.

Google era stata avvisata dei due bug il 15 Agosto. La società aveva identificato il problema, bollandolo come "critico". La correzione del problema (le patch) è poi arrivata con l’aggiornamento di sicurezza di Ottobre, ma solo per i telefoni della linea Nexus. Per tutti gli altri è stata promessa con i modi e i tempi previsti dal produttore e/o dall’operatore di telefonia. La società di Mountain View ha fornito la patch ai produttori il 10 Settembre. Google, LG, Samsung e altri avevano promesso di distribuire degli aggiornamenti di sicurezza mensili proprio per arginare problemi del genere (leggi: "Samsung promette Aggiornamenti mensili di Sicurezza per Android").