Android

ชื่อใหม่ของ Stagefright : Metaphor

นักวิจัยชาวอิสราเอลค้นพบวิธีเอาชนะการลักลอบตักตวงผลประโยชน์จากช่องโหว่ของระบบที่มีชื่อว่า Stagefright หรือที่แปลเป็นภาษาไทยว่า “อาการตื่นเวที” ที่ส่งผลกระทบต่อห้องสมุดที่ใช้ระบบปฏิบัติการแอนดรอยด์เพื่อวิเคราะห์ไฟล์มัลติมีเดีย ซึ่งถูกเปิดเผยเมื่อปีที่ผ่านมา

โดยอาชญากรสามารถเริ่มเปิดทำงานโค้ดอันตราย จากเว็บไซต์ที่ถูกแฮค หรือสื่อที่ใช้ส่ง MMS เพื่อขโมยข้อมูล

แต่นี่ไม่ใช่ทั้งหมด นักวิจัยจาก NorthBit คุณ Hanan Be’er พบสิ่งที่ร้ายแรงกว่า Stagrfright ชื่อว่า ‘Metaphor’ และเขายังบอกอีกว่ามีอุปกรณ์แอนดรอยด์มากกว่าล้านเครื่องที่มีโอกาสถูกโจมตี และมีกลไกป้องกันตัวเอง Metaphor สามารถทำงานได้บนแอนดรอยด์เวอร์ชั่น 2.2 ถึง 4.0 และ 5.0 ถึง 5.1 โดยเฉพาะตัวล่าสุดสามารถหลบเลี่ยง ASLR หรือ ‘adress space layout randomization’ ซึ่งใช้ขัดขวางการแสวงผลประโยชน์ และมีหน้าที่เป็นกันชนให้กับการโจมตีไซเบอร์

โดยกระบวนการที่ถูกทำขึ้นมีหลายขั้นตอน อย่างแรก เมื่อเป้าหมายเข้าไปยังเว็บไซต์อันตราย หลังจากนั้นเว็บไซต์จะส่งวิดีโอที่ทำให้มัลติมีเดียเซิร์ฟเวอร์หยุดทำงานเข้าสู่อุปกรณ์ เพื่อทำให้อุปกรณ์รีเซ็ตระบบตัวเอง ในขณะที่ Javascript กำลังรอให้อุปกรณ์รีเซ็ตระบบ และส่งข้อมูลเกี่ยวกับอุปกรณ์ไปยังเซิร์ฟเวอร์ของอาชญากร ผ่านอินเตอร์เน็ต

เซิร์ฟเวอร์นี้สามารถสร้างไฟล์วิดีโอที่ส่งไปยังอุปกรณ์เป้าหมายเพื่อขโมยข้อมูลภายในอุปกรณ์ เมื่อกระบวนการของ Stagefright เสร็จสิ้น ไฟล์วิดีโอของอาชญากรก็จะดำเนินการส่งสิทธิในการเข้าถึงข้อมูลเพื่อสอดแนมผู้ใช้

Bug CVE-2015-3864 สามารถทำงานได้โดยที่ผู้ใช้ยังไม่ต้องเปิดวิดีโอ และทำให้ Stagefright กลายเป็นเครื่องเล่นวิดีโอบนอุปกรณ์แอนดรอยด์โดยอัตโนมัติ

สรุป “จากการทดลองมันสามารถทำงานได้ดีที่สุดบนอุปกรณ์ Nexus 5 และในอีกหลายๆอุปกรณ์ เช่น HTC One, LG G3 และ Samsung S5 ถึงแม้แต่ละแบรนด์จะมีองค์ประกอบต่างกับนิดหน่อย แต่พวกเรายินดีที่จะแก้ไขในทุกรุ่นของอุปกรณ์”

ในหลายเหตุการณ์ พวกเราต้องจดจำรูปแบบของมันในหลายสภาพแวดล้อม ซึ่งกำลังจะกลายเป็นปัญหาใหญ่ แต่ในขณะที่ขอบเขตของมันกำลังลดลง เพราะ การโจมตีนี้ต้องอาศัยการทำงานของ Javascript และ เว็บบราวเซอร์

ทั้งหมดนี้แสดงให้เห็นว่าพวกเราทุกคนไม่จำเป็นต้องตื่นตกใจแต่อย่างใด ผู้ใช้ควรที่จะติดตามข่าว และดาวน์โหลดตัวแก้ไขจากผู้ผลิต

1 comment on “ชื่อใหม่ของ Stagefright : Metaphor

%d bloggers like this: