Dùng smartphone Android, bạn có thể bị hack chỉ trong 10 giây!

Stagefright là một trong những lỗ hổng bảo mật "tồi tệ nhất trong lịch sử" được phát hiện trên hệ điều hành Android. Với lỗ hổng này, hacker có thể dễ dàng tấn công thiết bị của bạn từ xa chỉ bằng cách gửi một tin nhắn MMS hoặc đường link đến file đa phương tiện (mp3, mp4,...).

Mặc dù Google và các nhà sản xuất đã thường xuyên tung ra những bản cập nhật vá lỗi, nhưng một thế hệ Stagefright mới nguy hiểm hơn gấp bội đã vừa bị phát hiện, ảnh hưởng tới hơn hàng triệu smartphone trên toàn thế giới. Kỹ thuật khai thác Stagefright này có tên là Metaphor.

Một chiếc smartphone Android có thể bị hack chỉ trong 10 giây !

Theo video minh họa mà các chuyên gia công ty bảo mật Northbit công bố, kỹ thuật khai thác Metaphor có thể xâm nhập thành công chiếc Nexus 5 chỉ trong vòng 10s đồng hồ. Những smartphone Android khác như S5, LG G3 và HTC One cũng dễ dàng trở thành nạn nhân của phương thức tấn công rất tinh vi và nguy hiểm này.

Cụ thể, metaphor sẽ khai thác lỗ hổng CVE-2015-3864 theo cách thức qua mặt ASLR (Address-Space Layout-Randomisation) - cơ chế bảo vệ bộ nhớ trên hệ điều hành Android như sau:

Bước 1: Hacker đánh lừa người dùng truy cập vào một đường link độc hại, chứa tập tin video bị lỗi để crash phần mềm đa phương tiện mediaserver của Android. Tất nhiên, trình chơi video sẽ phải khởi động lại.

Bước 2: Trong khi mediaserver khởi động, javascript trên trang web sẽ gửi thông tin thiết bị về máy chủ của hacker

Bước 3: Máy chủ của hacker sẽ gửi lại một file video khác - trong đó đính kèm malware độc hại với mục đích khai thác lỗ hổng Stagefright trên thiết bị. Sau khi xâm nhập thành công, hacker có toàn quyền để theo dõi và kiểm soát thiết bị Android.

Hàng triệu smartphone Android đang gặp nguy hiểm

Như vậy, chỉ cần spam link với các nội dung đa phương tiện để người dùng tò mò click vào (18 , quảng cáo,...), hacker sẽ dễ dàng câu được những con cá thiếu hiểu biết. Đối với người dùng Android, việc trình chơi video đôi khi bị crash là chuyện quá bình thường, đến khi họ phát hiện ra dữ liệu hoặc thông tin cá nhân bị kẻ xấu đánh cắp thì đã quá muộn.

Để khắc phục vấn đề nghiêm trọng này, Google đã đưa ra bản cập nhật an ninh, vá lỗ hổng Stagefright trên Android 6.0, cũng như cam kết sẽ cập nhật thường xuyên cho phiên bản Android cũ trong thời gian tới.

Tham khảo: thehackernews