Android在一个名为“Stagefright”的组件中有一个巨大的安全漏洞。仅仅是收到恶意彩信就可能导致您的手机受到威胁。令人惊讶的是，我们没有看到蠕虫像早期Windows XP时代的蠕虫那样在手机之间传播-所有的成分都在这里。
实际上比听起来要糟糕一点。媒体在很大程度上关注彩信攻击方法，但即使是嵌入到网页或应用程序中的MP4视频也可能危及你的手机或平板电脑。
为什么Stagefright漏洞是危险的-不仅仅是彩信
一些评论家称这次攻击为“Stagefright”，但它实际上是对Android中一个名为Stagefright的组件的攻击。这是Android中的多媒体播放器组件。它有一个可被利用的漏洞-最危险的是通过彩信(MMS)进行攻击，彩信是一条嵌入多媒体组件的文本消息。
许多Android手机制造商已经不明智地选择授予Stagefright系统权限，这比root访问权限低一步。利用Stagefright可让攻击者运行具有“媒体”或“系统”权限的任意代码，具体取决于设备的配置方式。系统权限将使攻击者基本上完全访问其设备。发现并报告该问题的Zimperium组织提供了更多细节。
典型的Android短信应用程序会自动检索收到的彩信。这意味着，仅仅是有人通过电话网络向你发送消息，就可能会危及你的安全。随着您的手机被攻破，使用此漏洞的蠕虫可以读取您的联系人并向您的联系人发送恶意彩信，就像1999年使用Outlook和电子邮件联系人的Melissa病毒一样迅速传播。
最初的报道集中在MMS上，因为这是Stagefright可以利用的最具潜在危险的媒介。但这不仅仅是彩信。正如趋势科技指出的那样，该漏洞存在于“mediaserver”组件中，网页上嵌入的恶意MP4文件可以利用该漏洞--是的，只需在你的网页浏览器中导航到网页即可。嵌入到想要利用你的设备的应用程序中的MP4文件也可以做同样的事情。
您的智能手机或平板电脑是否易受攻击？
您的Android设备可能易受攻击。全球95%的Android设备都容易受到Stagefright的攻击。
若要确认，请安装Google Play中的Stagefright检测器应用程序。这款应用程序是由发现并报告Stagefright漏洞的Zimperium开发的。它会检查你的设备，并告诉你你的Android手机上是否安装了Stagefright补丁。
如果你易受攻击，如何防止Stagefright攻击
据我们所知，Android杀毒应用程序不会让你免于Stagefright攻击。他们不一定拥有足够的系统权限来拦截MMS消息并干扰系统组件。谷歌也无法更新Android中的Google Play服务组件来修复这个漏洞，这是谷歌在出现安全漏洞时经常采用的拼凑解决方案。
要真正防止您自己受到攻击，您需要阻止您选择的消息应用程序下载和启动彩信。一般来说，这意味着禁用其设置中的“彩信自动检索”设置。当你收到彩信时，它不会自动下载-你必须通过点击占位符或类似的东西来下载。除非您选择下载彩信，否则不会有风险。
你不应该这么做。如果彩信来自你不认识的人，一定要忽略它。如果彩信来自朋友，如果蠕虫真的开始传播，他们的手机可能已经被攻破了。如果你的手机易受攻击，最安全的做法是永远不要下载彩信。
要禁用彩信自动检索功能，请按照您的短信应用程序的相应步骤操作。
短信(内置于Android)：打开短信，点击菜单按钮，然后点击设置。向下滚动到“多媒体(MMS)消息”部分，取消选中“自动检索”。 Messenger(由Google提供)：打开Messenger，点击菜单，点击设置，点击高级，并禁用“自动检索”。 Hangout(由谷歌提供)：打开Hangout，点击菜单，然后导航到设置>短信。取消选中“高级”下的“自动检索短信”。(如果您在此处看不到短信选项，则表明您的手机没有使用Hangout发送短信。禁用您使用的SMS应用程序中的设置。)。 信息(三星提供)：打开信息并导航至更多>设置>更多设置。按Multimedia Messages(彩信)并禁用“Auto Retrieve”(自动检索)选项。这一设置可能在不同三星设备上的不同位置，这些设备使用不同版本的Messages应用程序。
在这里不可能建立一个完整的名单。只需打开你用来发送短信(短信)的应用程序，然后寻找一个可以禁用彩信“自动检索”或“自动下载”的选项。
警告：如果您选择下载彩信，您仍然容易受到攻击。而且，由于Stagefright漏洞不仅仅是一个彩信问题，这不会完全保护你免受每一种类型的攻击。
你的手机什么时候打补丁？
相关：为什么您的Android手机无法获得操作系统更新，以及您可以为此做些什么
与其试图解决这个错误，不如你的手机刚刚收到一个修复了它的更新。不幸的是，Android的更新情况目前是一场噩梦。如果你最近有一款旗舰手机，你可能会期待在某个时候进行升级-希望如此。如果你有一部较旧的手机，特别是低端手机，你很有可能永远不会收到更新。
Nexus设备：Google现在已经发布了Nexus 4、Nexus 5、Nexus 6、Nexus 7(2013)、Nexus 9和Nexus 10的更新。原来的Nexus 7(2012)显然不再受支持，不会再打补丁。 三星：Sprint已经开始推出Galaxy S5、S6、S6 Edge和Note Edge的更新。目前还不清楚其他运营商何时推出这些更新。
谷歌还告诉Ars Technica，“最受欢迎的Android设备”将在8月份进行更新，包括：
三星：除上述手机外，还有Galaxy S3、S4和Note 4。 HTC：一台M7，一台M8，一台M9。 LG：G2、G3和G4。 索尼：Xperia Z2、Z3、Z4和Z3 Compact。 谷歌支持的Android One设备
摩托罗拉还宣布，将从8月份开始为手机打补丁，包括Moto X(第一代和第二代)、Moto X Pro、Moto Maxx/Turbo、Moto G(第一代、第二代和第三代)、Moto G和4G LTE(第一代和第二代)、Moto E(第一代和第二代)、Moto E和4G LTE(第二代)、Droid Turbo和Droid Ultra/Mini/Maxx。
谷歌Nexus、三星和LG都承诺每月更新一次手机安全更新。然而，这一承诺只适用于旗舰手机，需要运营商合作。目前还不清楚这会有多好。运营商可能会潜在地阻碍这些更新，这仍然会让大量-数千种不同型号-正在使用的手机没有更新。
或者，只需安装氰基生成模式
相关：在Android设备上安装LineageOS的8个原因
CyangenMod是安卓的第三方定制ROM，发烧友经常使用。它为制造商已停止支持的设备带来了当前版本的Android。对于普通人来说，这并不是一个理想的解决方案，因为它需要解锁手机的引导加载程序。但是，如果您的手机受支持，您可以使用此技巧获得带有最新安全更新的最新版本的Android。如果您的手机不再受制造商的支持，安装CyangenMod并不是个坏主意。
CyangenMod已经修复了夜间版本中的Stagefright漏洞，该修复应该很快就会通过OTA更新进入稳定版本。
Android有一个问题：大多数设备无法获得安全更新
相关：为什么iPhone比Android手机更安全
遗憾的是，这只是旧Android设备建立的众多安全漏洞之一。这只是一个特别糟糕的问题，得到了更多的关注。例如，大多数Android设备-所有运行Android 4.3及更早版本的设备-都有一个易受攻击的网络浏览器组件。除非设备升级到更新版本的Android，否则这永远不会打补丁。你可以通过运行Chrome或Firefox来保护自己免受攻击，但在这些设备被更换之前，易受攻击的浏览器将永远存在于这些设备上。制造商对保持它们的更新和维护不感兴趣，这就是为什么这么多人转向了CyangenMod。
谷歌、Android设备制造商和蜂窝运营商需要理顺他们的行动，因为目前更新Android设备的方法-或者更确切地说，不更新Android设备-正在导致一个Android生态系统，随着时间的推移，设备会积累漏洞。这就是为什么iPhone比Android手机更安全-iPhone实际上可以获得安全更新。苹果承诺更新iPhone的时间比谷歌(仅限Nexus手机)要长，三星和LG也在准备升级他们的手机。
你可能听说过使用Windows XP是危险的，因为它已经不再更新了。随着时间的推移，XP将继续建立安全漏洞，并变得越来越容易受到攻击。嗯，使用大多数Android手机也是一样的--他们也不会收到安全更新。
一些利用漏洞的缓解措施可以帮助防止Stagefright蠕虫侵占数百万部Android手机。谷歌辩称，ASLR和其他对更新版本的Android的保护有助于防止Stagefright受到攻击，这似乎是部分正确的。
一些移动运营商似乎也在他们的一端拦截潜在的恶意彩信消息，阻止他们接触到易受攻击的手机。这将有助于防止蠕虫通过彩信传播，至少在采取行动的运营商上是这样。
图片来源：Flickr上的马泰奥·多尼(Matteo Doni)