Tutto quello che devi sapere su Stagefright

Dopo aver discusso ieri della vulnerabilità legata ai ransomware per Android, mi sembra opportuno spendere qualche parola, in questo nuovo articolo, per approfondire la questione legata a Stagefright: non un virus bensì una vulnerabilità che colpisce moltissime versioni di Android (oltre il 90% dei dispositivi secondo IlSoftware.it), e che sfrutta essenzialmente l’invio di un MMS “mascherato” che riuscirebbe addirittura a prendere il controllo root (cioè totale) del sistema colpito. Questo non deve trarre in inganno perchè tutte le versioni di Android non recentissime sono potenzialmente affette dal problema, e il fatto che il vostro sistema sia “rootato” o meno non influisce sulla natura del problema.

Stagefright è una vulnerabilità che ha colpito il sistema operativo Android, sfruttando una falla nel framework di decodifica dei video. Il rischio era che un file video manipolato potesse essere inviato via MMS o link e infettare un dispositivo senza che l’utente dovesse interagire con il contenuto. La versione Stagefright 2 ha esteso il problema, sfruttando nuovi tipi di attacchi, permettendo ai malintenzionati di accedere ai dispositivi anche senza aprire il video. Questa vulnerabilità ha portato a un massiccio aggiornamento di sicurezza dei dispositivi Android per prevenire gli exploit.

Descrizione della Vulnerabilità:

La falla è stata ufficialmente classificata come CVE-2015-1538 (nota: al momento in cui scrivo non sono noti dettagli su cve.mitre.org, per cui è possibile che qualcosa di ciò che si trova scritto in rete sull’argomento siano illazioni), e costituisce un serio rischio per la sicurezza dei dispositivi Android.

La vulnerabilità Stagefright si trovava nel codice del componente libstagefright, che è responsabile del parsing dei file multimediali in Android. L’attacco si basava sulla manipolazione di file video (MP4, 3GP) e audio (MP3, AAC) contenenti dati malformati, che potevano causare buffer overflow, permettendo l’esecuzione di codice dannoso senza l’intervento dell’utente.

Nel caso specifico, l’invio di un MMS o la visualizzazione di un file video/video con questi dati malformati poteva portare all’esecuzione di codice remoto. La gravità della vulnerabilità era tale che non era necessario interagire con il file malformato; il semplice ricevimento del file e la sua analisi da parte di Stagefright erano sufficienti per attivare l’exploit.

In breve si tratta di questo: Stagefright (lett. “panico da palcoscenico“, ma il nome deriva da libStageFright, una libreria per il trattamento dei video) consiste in una falla presente nel sistema operativo, e che molti programmi di messaging istantaneo (IM) come gli Hangout di Google sfruttano al proprio interno: il problema è che un utente malintenzionato potrebbe inviarci uno script Python malevolo che maschera se stesso da video, permettendo il controllo remoto del nostro telefono o smartphone senza che ce ne accorgiamo.

Come risolvere o mitigare l’effetto. Qui la questione non è banale e va affrontata per ordine: per come funzionano gli aggiornamenti di Android, molti dispositivi rischiano – come già avvenuto in casi analoghi in passato – di rimanere scoperti per sempre. L’unica, quindi, è non utilizzare determinate app di messaging istantaneo, in particolare Hangout a meno che con l’ultimo aggiornamento non sia stata installata una versione molto recente.

Come sapere se il nostro dispositivo è a rischio. C’è anche un’app specifica che è possibile scaricare per capire se si sia vulnerabili a Stagefright, che si chiama Stagefright Detector e si scarica dal Google Store, sviluppata da Zimperium (l’azienda di sicurezza informatica che ha analizzato il problema). Prendete il risultato col beneficio del dubbio, ma sta di fatto che la maggioranza dei commenti degli utenti che l’hanno installato si ritrovano con una notifica positiva, per cui il loro dispositivo è vulnerabile a Stagefright. Qui pero’ i dati collidono e in parte si contraddicono: se da un lato c’è chi sostiene che moltissimi dispositivi siano a rischio (soprattutto perchè le marche dei vari dispositivi tendono a non aggiornare i sistemi più vecchi, ma solo i recenti), c’è da dire che il blog di Zimperium stesso parla di una nuova versione di Hangout che risolve il problema. Quindi si può aggiornare il sistema (anzi, è opportuno aggiornare specie se non lo facciamo da molto tempo), e verificare con l’app in questione che sia tutto ok: in caso contrario, antivirus sempre attivo e massima attenzione ai messaggi ricevuti, specie se video.

Secondo il blog di Avira (che ha linkato un post esplicativo nell’ultimo aggiornamento del proprio antivirus) per mitigare l’effetto della falla è importante disabilitare lo scaricamento automatico di SMSÂ all’interno delle impostazioni del telefono; questo vale in particolare per l’app usata per gli Hangout, che dovrebbe avere la funzione autodownload di MSS/SMS disabilitata. Questo non risolve del tutto, ma quantomeno mitiga la falla.

Stagefright è una vulnerabilità critica che ha colpito il framework multimediale di Android, una delle componenti più importanti per la gestione dei file audio e video. Scoperta nel 2015, Stagefright ha attirato molta attenzione per la sua capacità di eseguire codice arbitrario a distanza, sfruttando una semplice visualizzazione di un file multimediale malformato (ad esempio, un video MMS o un file MP4). La vulnerabilità ha avuto il potenziale di compromettere la sicurezza di milioni di dispositivi Android, portando a una serie di aggiornamenti e miglioramenti nel sistema di sicurezza del sistema operativo.

Evoluzione e Risoluzione:

1. Rilevamento e Patch iniziali (2015): La scoperta di Stagefright da parte di ricercatori della Zimperium ha portato a un’onda di aggiornamenti di sicurezza da parte di Google e dei produttori di dispositivi Android. Le patch sono state distribuite, ma l’adozione degli aggiornamenti è stata lenta, specialmente nei dispositivi più vecchi o nei modelli meno recenti.
2. Impatto e Distribuzione: La vulnerabilità ha avuto un impatto su oltre 950 milioni di dispositivi Android. Google ha rilasciato un aggiornamento critico di sicurezza per correggere il bug, ma molti produttori di dispositivi non hanno tempestivamente implementato le patch, lasciando molti utenti vulnerabili a potenziali attacchi.
3. Modifiche a lungo termine nel sistema di sicurezza di Android: In risposta alla gravità dell’incidente, Google ha introdotto misure di sicurezza più severe per proteggere i dispositivi da vulnerabilità simili, come miglioramenti nel meccanismo di gestione delle patch e l’implementazione di security bulletins mensili. Inoltre, Android ha adottato misure come il controllo delle app e la sandboxing dei processi per limitare l’impatto degli attacchi.
4. Aggiornamenti e chiusura delle vulnerabilità: Con il passare del tempo, Google ha rilasciato numerosi aggiornamenti che hanno risolto Stagefright e vulnerabilità correlate. Le versioni più recenti di Android (dalla versione 7.0 Nougat in poi) includono una protezione aggiuntiva contro questo tipo di exploit.

Nel 2025, Stagefright non è più una minaccia immediata per la maggior parte degli utenti Android. La maggior parte dei dispositivi moderni e quelli aggiornati alle versioni più recenti di Android sono protetti contro questo exploit. Tuttavia, ci sono ancora dispositivi più vecchi e versioni obsolete di Android (come quelle precedenti a Nougat) che potrebbero essere vulnerabili se non sono stati aggiornati.

Le nuove versioni di Android hanno migliorato significativamente la gestione delle vulnerabilità di sicurezza, integrando funzioni di sicurezza come la protezione dal buffer overflow e altre misure di protezione contro l’esecuzione di codice remoto non autorizzato. Inoltre, Android ha introdotto meccanismi di verifica delle app e l’adozione di nuove tecnologie come Google Play Protect, che contribuiscono a mantenere i dispositivi sicuri.

Oggi, la vulnerabilità Stagefright non è una preoccupazione primaria per la maggior parte degli utenti. Le probabilità che un utente moderno sia esposto a tale rischio sono molto basse, specialmente per chi utilizza dispositivi aggiornati o modelli più recenti di Android. Tuttavia, i dispositivi più vecchi, quelli non più supportati, o quelli che non ricevono aggiornamenti di sicurezza regolari potrebbero ancora essere a rischio. Gli utenti di tali dispositivi dovrebbero prendere in considerazione l’aggiornamento a una versione più recente di Android, se possibile, o considerare l’acquisto di un nuovo dispositivo sicuro.

In sintesi, Stagefright ha rappresentato una minaccia significativa quando è stato scoperto, ma grazie agli aggiornamenti tempestivi e alle nuove misure di sicurezza implementate da Google e dai produttori di dispositivi, l’impatto della vulnerabilità si è notevolmente ridotto nel tempo. Al giorno d’oggi, la preoccupazione principale dovrebbe essere focalizzata su dispositivi obsoleti che non ricevono più aggiornamenti di sicurezza. La buona pratica di mantenere i dispositivi aggiornati rimane fondamentale per la sicurezza generale.