Stagefright - Informationsthread (Lösungen, News, Diskussion)

[pengonator]

Ich kann auch das große gejammer hier von vielen nicht verstehen. Es wird blindlinks das genutzt was diese als Mainstream ansehen und genau das ist doch das Problem. Je größer die Marktdurchdringung ist je interessanter ist es dort seine Angriffsstrategie aufzusetzen denn dort wird man die größte Chance haben sich in dieser Spielwiese zu tummeln wenn man böse Absichten hat. Wer sichere Systeme haben will der muss auch selbst etwas dafür tun und nicht glauben wenn er etwas Geld in die Hand nimmt das sich das dann löst. Warum wohl ist Microdoof schon seit Jahrzehnten die Spielwiese für Vieren und Trojaner? Erstens weil es sehr sehr viele Systeme damit gibt und zweitens das das von auch sehr sehr vielen Usern genutzt wird die gedankenlos das einsetzen. Wer Sicherheit will setzt auf seinem System auch sichere Software ein, Linux z.B.. Aber da müsste man sich ja selbst Gedanken machen und meckern ist ja viel einfacher. Ich habe noch nie ein Virus oder Trojaner auf meinem System gehabt, aber warum, weil ich kein Windoofs nutze.

 

[Miss Montage]

Ehrlich gesagt hatte ich in meinen gut 10 Windows-Jahren auch nur einen "Virenbefall" -> per "Antivir" sofort entdeckt und ausgemerzt.
Das Problem, das hier thematisiert wird, sind ja weniger die Angriffe, als die Anfälligkeiten und die zögerliche Behebung, die tatsächlich der Android-Architektur und Geschäftsstruktur geschuldet ist.

 

[StardustOne]

Super, Google hat den Stagefright Patch fehlerhaft implementiert und jetzt geht es von vorne los.

 

[altmann]

Panikmache, nix als Panikmache..

Wie gesagt, Windows ist das am weitesten verbreitete System. Und hat Löcher wie ein Schweizer Käse.
Wenn man dann mal ansieht, wieviele PCs wirkllich infiziert sind und als Zombies durch die Gegend rennen.. Erschreckend wenige.
Sollte man nach den Horrormeldungen gehen, die man immer so liest, müsste die ganze IT schon zusammengebrochen, dass Internet non-existent sein und die Wirtschaft am Boden liegen. Aber, was iss?? Genau.. Nüscht

Und genau so wirds sich jetzt mit Stagefright verhalten, wie auch mit so ziemlich jedem anderen Bug der in Zukunft gefunden wird.

 

[digidu]

@altmann : Ich mach eigentlich nur bei der Panikmache mit, weil es bei anderen Mitbewerben gerne auch gemacht wird ( ich bin Crossoverplattform-User ) - Im Grunde hast Du natürlich schon Recht

Noch ein bissl Panik ^^

https://www.postbank.de/privatkunden/pk_aktuelle_sicherheitshinweise.html

 

[StardustOne]

Panik bekommt man tatsächlich, denn auf solche Tricks fallen die Leute schon rein. Schade dass Google es soweit hat kommen lassen. Die hätten vor Jahren eine bessere Lösung für Security Patches erfinden können. An Geld fehlt es denen nicht, nun bezahlen halt alle für diese Versäumnisse.

 

[Miss Montage]

Ich halte es nicht für Panikmache - aber ich glaube auch nicht, dass von dem Exploit die Welt untergeht.
Google zufolge soll der Exploit bei 90 Prozent der Android-Geräte nur sehr schwierig zu nutzen sein: jenen, die ASLR (Adress Space Layout Randomization) unterstützen. (s. Forbes):

According to Google devices protected with ASLR (address space layout randomization) mitigates the issue and makes it much more difficult for an attacker to successfully exploit Stagefright. Google claims that more than 90 percent of Android devices have ASLR enabled, which suggests that only 10 percent of the Android devices are at risk.

 

[altmann]

Ja, es fallen Leute "auf diese Tricks" rein.. Aber auch da wieder erschreckend wenige, dass es eigentlich noch nicht mal eine Erwähnung wert ist.

Ich würde übrigens behaupten, dass ca. 20-30% der Android-Phones nie von ihren Usern geupdated werden. Wenn ich z.B. meine Eltern angucke, die würden niemals ein OTA anstossen bzw. was flashen. Trotzdem wurde ihr Telefon noch nicht gekapert oder hatten sie Rechnungen von tausenden von Euro.
Wenn das wirklich so gefährlich wäre, würden wir jeden Tag über hunderte von Fällen irgendwo lesen. Dem ist aber nicht so..

Das es immer wieder den einen oder anderen trifft, dass ist nunmal leider so. Aber gerade bei solch in Masse eingesetzter Software wird man niemals jede Lücke schliessen können bzw. in der Programmierung erst keine Lücke aufmachen.

Naja, Sommer iss ja zum Glück bald vorbei

 

[duffy-31]

Google hat die Kontrolle zu gunsten einer hohen Marktdurchdringung an Hersteller und Entwickler abgegeben, das rächt sich jetzt.
Das ist halt der Vor-und Nachteil eines offenen Systems, das wir allerdings auch wollen, oder ?
Wer seine persönlichen sensiblen Daten nicht schützt kann nicht alle Schuld auf andere abwälzen, ein System das sich mit der ganzen Welt verbinden kann ist auch aus der ganzen Welt angreifbar.
Ich bin trotzdem der meinung das hier wie üblich Angst geschürt wird.

 

[Miss Montage]

@digidu und @altmann : Zum Glück sind die meisten Leute vorsichtig, wenn sie solche Mails erhalten und rufen (z.B. bei ihrer Bank) an. Allerdings ist es nicht so selten, dass der Anruf erst nach dem Download erfolgt. Was das Konto betrifft, kann man dann meist noch rechtzeitig Abhilfe schaffen. Oder die Firmenserver registrieren verdächtige IP-Adressen, dann reagieren Banken, sperren die Zugangsdaten und teilen ihren Kunden den Phishing-/Trojanerverdacht schriftlich mit.

 

[altmann]

Naja, aber das Thema Phishing wurde jetzt schon soooo oft in den Medien behandelt. Das dürfte mittlerweile jeder auch noch so casual User mitbekommen habe. Wenn man ne Mail bekommt, was mit ner Bank zu tun haben soll (wie es hier ja auch wieder der Fall war) dann sollten die Alarmglocken aber klingeln. So ziemlich bei jedem.. Wie gesagt, einige beratungsresistente Leute wirste nie erreichen, aber das ist so erschreckend wenig. Nur weil einige Leute zu schnell Auto fahren und sich dadurch tod fahren, würde ja auch keiner die Autohersteller auffordern, nen Limiter auf 100km/h einzubauen. Wie gesagt, einige Lernunwillige gibts halt immer, so ist das Leben.

Die meisten Leute dürften übrigens nicht von sowas betroffen sein, zumindest nicht mit ihren privaten eMail-Adressen. Ich gehe von aus, dass in Deutschland ca. 90% der privaten Mailadressen über 1&1, Web.de, GMX, Yahoo, etc. laufen. Da wird der ganze Scam-Quatsch eh vorher aussortiert.

 

[Miss Montage]

Naja, als Mitarbeiterin im Kundendienst einer Bank habe ich da eine andere Sicht drauf: Selbst Bankangestellte füllen brav das Online-Formular mit den 100 TAN aus (weil die Meldung ja tagelang "nicht wegging")...
Aber "Browser-Hijacking" ist gefährlicher...

GMX sortiert leider sehr schlecht aus, vor allem bei den Kunden, deren Adressen vor ca. 17 Monaten geklaut wurden. Leidvolle eigene Erfahrung...

 

[altmann]

Aber "Browser-Hijacking" ist gefährlicher...

Definitiv. Sagte mir auch unserer lokaler Bankmitarbeiter mal, dass sie damit eigentlich wensentlich mehr Probleme haben wir mit dem normalen Phishing. Da sind denke ich wirklich viele Leute mittlerweile "geschult".. 100% wird man nie erreichen, dass ist leider so.

 

[HabiXX]

Patch für Zenfone2 :

http://www.androidcentral.com/asus-releases-stagefright-patch-zenfone-2

Und OnePlus hat auch was für das Oxygen-OS:

http://www.neowin.net/news/oneplus-releases-oxygen-os-update-for-stagefright-vulnerability

 

[Rumpelstilzchen]

Ich halte das ganze mittlerweile auch ein klein wenig für Panikmache, irgendwie kommt mir da mal wieder der Begriff "Sommerloch" in den Sinn.

Natürlich ist ein System wie Android und so wie Google es betreibt deutlich einfacher anzugreifen als ein geschlossenes System.
Und in der Größe und Verbreitung bis dato einzigartig.
Trotzdem möchte ich persönlich nicht auf die Vielfalt von Android verzichten. IOS oder WP wäre ein Gräuel für mich.
Aber die Entscheidung trifft jeder für sich selber.

Und @StardustOne : ich kann deinen Ärger über die Updatepolitik gerade beim N3 schon verstehen, das von der Hardware her ausreichend wäre.
Hatte es mal selber in Gebrauch.
Nur wir haben hier eine freie Marktwirtschaft. Und somit leben Google und die Hersteller nicht vom "nett sein", sondern von den Verkaufszahlen.
Solange wir da immer schön mit spielen und nicht irgendwann sagen "ihr könnt mich jetzt mal", wird sich daran auch nichts ändern.
Für meinen Geschmack ist da der Fehler eher beim Endkunden selber zu suchen.

 

[Schussi]

Nur mal so zu Info, iOs hat mit dem aktuellen Update auf 8.4.1 71 "Systemlücken" geschlossen. Sicher ist gar nix, es ist nur entscheidend wie die Medien so was "werten" .

 

[HabiXX]

Oppo R7 ist jetzt auch sicher:

http://ausdroid.net/2015/08/12/oppo-has-released-a-stagefright-patch-for-the-r7-patches-for-other-models-coming-soon/

 

[Erbsenmatsch]

Oehm mi3 mim neusten Rom OÖ

 

[Miss Montage]

Ja, der "neue" Vektor leuchtet bei mir auch rot.

 

[pengonator]

Hier wird auf google und die Smartphone Hersteller eingedroschen weil es keine Security-Fixe für die betroffenen Phones & OS-Versionen gibt. Da wird dann behauptet das OS XY ist aber sicher. Das hört sich ja an wie in der Kirchenpredigt und der Glaube versetze Berge. Nein ein 100% sicheres OS wird es nie geben. Was man nur sagen kann das es noch keine neuen bestätigten Lücken für OS XY gibt. Ist aber alles nur eine Frage der Zeit bis die Presse eine andere Sau (OS oder Hersteller) durchs Dorf treiben und dann springen wieder alle brav auf den Zug auf und dreschen fleißig mit. Wer was sicheres haben will der sollte kein Handy, PC oder vergleichbares Nutzen und schön wieder alles mit dem Bleistift machen. Selbst das angebliche abhörsichere Kanzlerhandy wurde belauscht. Kommt immer auf den Aufwand an den man betreiben kann, was natürlich schon das Vorhandensein größerer Geldmittel voraus setzt, dann findet man schon die passende Lücke.....