Bulan Juli peneliti keamanan dari perusahaan Zimperium mengumumkan penemuan celah keamanan pada Android. Penemuan yang diberi nama celah keamanan Stagefright ini disebut-sebut sebagai vulnerabilty Android yang paling berbahaya saat ini. Sejak versi 2.2 Android memiliki library libStagefright. Library ini merupakan media library yang memproses berbagai macam format media. LibStagefright yang dibangun dengan bahasa C++ ini ternyata rentan terhadap serangan remote code execution.

Penyerang hanya membutuhkan nomer Handpone kita. Kemudian penyerang akan mengirimkan kode yang dimasukkan dalam sebuah file Video dan dikirim via MMS. Kode ini bahkan bisa menghapus pesan MMS tersebut sebelum pesan kita baca. Jadi korban hanya mendapat notifikasi ada pesan MMS baru, tapi tidak menemukan pesan tersebut. Exploit ini berbahaya karena tidak memerlukan interaksi dari korban. Berbeda dengan serangan spear-phishing, dimana korban harus membuka sebuah file PDF atau sebuah link yang dikirimkan oleh penyerang. Jadi bisa saja penyerang mengirimkan pesan MMS ketika kita tidur, kemudian tanpa kita sadari setelah kita bangun perangkat Android kita telah terinfeksi trojan.

Dengan exploit ini penyerang  dapat memiliki remote akses terhadap perangkat android korban. Estimasi dari Zimperium, 95% perangkat Android yang ada saat ini rentan terhadap exploit ini. Celah keamanan Stagefright ini telah didaftarkan pada CVE  (Common Vulnerabilities and Exposures) berikut:

Zimperium telah melaporkan celah keamanan ini ke Google, bahkan menyertakan juga patch yang dibutuhkan. Bagi pengguna untuk menutup celah keamanan ini diperlukan update OTA firmware. Selain itu umumnya perangkat Android yang berumur lebih dari 18 bulan akan sulit mendapatkan update ini. Untuk menangani Stagefright, Zimperium menawarkan aplikasi zIPS (Zimperium’s advanced Enterprise Mobile Threat Protection solution).

Bacaan

http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/

http://www.techworld.com/security/androids-5-biggest-security-flaws-2015-3622116/2/

http://www.androidcentral.com/stagefright

https://blog.zimperium.com/the-biggest-splash-at-blackhat-and-defcon-2015/

http://www.trustedreviews.com/opinions/what-is-android-stagefright-bug

http://www.digitaltrends.com/mobile/android-stagefright-mms-hack-news/