Pod ta przerażającą nazwą ukrywa się groźna luka bezpieczeństwa znaleziona w systemie Android przez badacza marka Blaszczyka.
Niewidzialny SMS potrafi wykończyć Androida i zerwać połączenie z numerem 112
Najgorsze jest w tym to, że do przeprowadzenia skutecznego ataku wystarczy przesłanie specjalnie spreparowanej wiadomości tekstowej typu WAP Push. Z punktu widzenia użytkownika nie dzieje się nic, bo ekran się nie wybudza, na belce nie pojawia się żadne powiadomienie, a aplikacja do obsługi SMS-ów milczy. W tle dochodzi jednak do natychmiastowej awarii usunięcia systemowego odpowiedzialnego za obsługę połączeń telefonicznych.
Skutki są natychmiastowe i opłakane. Jeśli w trakcie nadejścia złośliwego pakietu prowadzimy rozmowę, połączenie zostaje gwałtownie zerwane. Dotyczy to również połączeń z numerami alarmowymi (np. 112 czy 911), co w sytuacji zagrożenia życia staje się śmiertelnie niebezpieczne. Można nawet wyobrazić sobie, jak taki atak jest połączony z fizycznym zagrożeniem i taka wizja jest naprawdę przerażająca, bo nie można nawet zadzwonić po pomoc.
Żeby tego było mało, telefon wpada również w pętlę restartów. Ponieważ Android uporczywie próbuje ponownie przetworzyć wadliwą wiadomość, usługa natychmiast wywala się po raz kolejny. Blaszczyk szacuje, że wystarczy wysłanie około 20 takich cichych SMS-ów, aby doprowadzić smartfon do całkowitego paraliżu i ciągłego restartowania się.
Czytaj też: Pokaż zdjęcia z zeszytu, a Gemini zrobi z nich coś ekstra. Google prezentuje genialną sztuczkę
A jeśli myślicie, że w takim wypadku pozostaje już tylko przywrócenie urządzenia do stanu fabrycznego, to mam złą wiadomość, bo to może w niczym nie pomóc. Jeśli operator komórkowy ponowi próbę doręczenia wiszących na serwerze wiadomości, telefon po włączeniu natychmiast ponownie wpadnie w pętlę. Jedynym ratunkiem dla uszkodzonego sprzętu bywa podłączenie go do komputera i ręczne wyczyszczenie pamięci za pomocą komend – co dla przeciętnego użytkownika jest barierą nie do przejścia.
Podatność dotyczyła potężnej gamy urządzeń z systemem Android 12 i nowszymi (od wersji 12 do 17). Atak udało się z sukcesem powtórzyć m.in. na smartfonach Google Pixel oraz Samsung Galaxy.
Google naprawił błąd, udając… że go nie ma
Jeśli trochę siedzicie w temacie, to zapewne wiecie, że istnieje pewna zasada – o takich lukach pisze się dopiero, gdy zostaną załatane, by nie dawać wcześniej cyberprzestępcom żadnych instrukcji. W tym jednak przypadku było trochę inaczej. Badacz poinformował bowiem Google o znalezieniu tej luki już 5 maja tego roku. Odpowiedź giganta? Zgłoszenie było wielokrotnie odrzucane i klasyfikowane jako… brak zagrożenia dla bezpieczeństwa. Zirytowany brakiem sensownego kontaktu ze strony firmy, Blaszczyk zdecydował się 29 października publicznie ujawnić działanie luki i zaprezentować gotowy dowód koncepcji.
Wydaje się więc, że to nieco nieodpowiedzialne z jego strony, by tak informować o tym wszystkich, choć z drugiej strony, skoro Google to zignorował, to takie postawienie pod ścianą mogło być jedynym ratunkiem. Tylko że… nie było czego ratować. Nie, firma nie miała wtedy racji. Po prostu w międzyczasie załatała tę lukę. Jak zauważa serwis Android Authority oraz twórcy bezpiecznego systemu GrapheneOS, inżynierowie giganta poradzili sobie z nią jeszcze w czerwcu, w lipcu trafiła ona do zamkniętych wydań testowych dla partnerów.
Czytaj też: Fani skarżą się na klikanie w nowym iPhonie. Apple ma spory problem tuż przed świętami
Brzmi kuriozalnie i takie trochę jest. Ciężko powiedzieć, dlaczego dział bezpieczeństwa Google wmawiał badaczowi, że problem nie istnieje, skoro ich właśni programiści szykowali łatkę? Najbardziej prawdopodobnym scenariuszem wydaje się totalny bałagan w komunikacji wewnętrznej lub błędne zaklasyfikowanie raportu Blaszczyka jako duplikatu wcześniej wykrytego błędu.
Mimo tego informacyjnego (bezsensownego) zamieszania, wieści dla użytkowników są ostatecznie dobre – łatka została oficjalnie uwzględniona w zbiorczych biuletynach bezpieczeństwa (październikowych dla nowszych Androidów od 14 do 17 oraz listopadowym publicznym biuletynie Google).
Źródło: smsofdeath.com
