Liberan el exploit Stagefright para ayudar a combatirlo

La empresa de seguridad Zimperium ha sido uno de los actores principales en el combate de Stagefright, una de las vulnerabilidades más críticas en el sistema operativo Android desde su lanzamiento. Esta empresa no sólo fue la encargada de detectar la vulnerabilidad, sino también ha sido la que que ha estado más cerca de proveer métodos de prevención y detección.

En los últimos meses Zimperium ha continuado su trabajo a pesar de las soluciones de seguridad provistas por fabricantes como Samsung, LG o el mismo Google, soluciones que finalmente no han demostrado ser efectivas para solucionar la situación de vulnerabilidad de los usuarios.

Es por eso que en una publicación en su blog, Zimperium ha hecho público el exploit que muestra cómo se puede aprovechar la vulnerabilidad de Stagefright para tomar posesión de cámara y micrófono del equipo de manera remota, con la esperanza de que más personas con la capacidad de ayudar se sumen a estos esfuerzos para solucionar una vulnerabilidad que afecta al 95% de los teléfonos Android.

Durante los meses de junio y julio Joshua J. Drake (VP del departamento de Investigación de zLabs) desarrolló un exploit para probar que la vulnerabilidad Stagefright es capaz de permitir un Código Remoto de Ejecución (RCE) sin la interacción del usuario. Estamos contentos de liberarlo al público general para que equipos de seguridad, administradores y analistas de penetración puedan probar si sus sistemas continúan siendo vulnerables“, indica Zimperium.

En el blog de Zimperium es posible encontrar las presentaciones relacionadas a Stagefright realizadas en la conferencia de seguridad Black Hat y un informe detallado de las avances de Zimperium desde que se dio a conocer la noticia, además del extenso código que fue utilizado para demostrar que Stagefright es una amenaza real.

La empresa agradeció a Google, Samsung, LG, Motorola, Sony y HTC por su activa participación en conseguir una solución para esta vulnerabilidad, a pesar de que las medidas implementadas no han conseguido solucionar el problema. La esperanza queda que hecho público este exploit, más personas con la capacidad suficiente puedan encontrar la solución definitiva.

Stagefright es una vulnerabilidad en el sistema operativo Android que puede explotarse conociendo únicamente el número de teléfono de la víctima y que permite introducir un troyano en el sistema operativo a través de un MMS y luego, en posesión del dispositivo de manera remota, eliminar el mensaje de forma que el atacante puede permanecer dentro del sistema sin que el dueño del equipo tenga conocimiento.