Boa notícia para quem curte mais proteção no seu smartphone pois parece que o pessoal que usa o Textra e o ChompSMS em breve terão uma vacina bem interessante para um bug que apareceu a pouco no Android. Na versão 3.1 do Textra e na 7.1 do ChompSMS é alegado que eles tem uma proteção contra o stagefright impelementada internamente nos apps que dá mais tranquilidade aos usuários que ainda recebem muito SMS ( sim, porque num mundo com Whatsapp receber um “vídeo” via SMS parece algo meio arcáico … ).

Quem ainda não está a par do Stagefright ( só pode ter ido conversar com alguém em Plutão durante uns 30 dias ) é só dar um pulo aqui para saber o que é esta ameaça.

E, finalmente, agora iremos lhe apresentar a tal solução milagrosa que a Textra implementou no(s) seu(s) produtos(s).

A exploração do stagefright ocorre quando qualquer aplicativo SMS / MMS cria a miniatura do vídeo MMS quando ele parece na janela de conversa ou notificação ou quando um usuário aperta o play no vídeo ou salva na Galeria. Nós estamos fornecendo uma solução para o Stagefrihgt na versão 3.1 do Textra que foi liberada agora.

Muito importante: em outros aplicativos SMS / MMS desligar o download automático não é o suficiente já que uma vez que você toque em download o exploit irá funcionar novamente. Além disto, você vai parar de receger qualquer MMS com fotos ou vídeos de grupos o que, no fundo, não é uma boa solução.

Mas calma criança. Temos que entender a coisa como um todo. Primeiro, o exploit Stagefright não é uma definição clara, pois temos um exploit para a biblioteca Stagefright. Esta biblioteca multimídia é responsável pelo processamente multimídia em vários pontos do Android, inclusive, quando você recebe um MMS.

Portanto se houve algum aplicativo ou mídia capaz de explorar esta biblioteca ela pode ser explorada via SMS, via um site web ou até, via Whatsapp ou outro tipo de programa que seja capaz de receber e processar vídeos, inserindo-os diretamente na sua galeria.

Assim, dizer que há uma cura, pelo menos no presente momento em que a vulnerabilidade não foi apresentada como um todo  ( temos que esperar a BlackHat para ver os papers ) é meio irresponsável.

Mesmo assim dou os créditos para eles que foram a primeira empresa que é responsável por um aplicativo SMS/MMS que tomou estas medidas para proteger um pouco mais seus usuários, mesmo que a ameaça em si continue existindo.

Ah, e antes que levantem a dúvida de que esta proteção para o Stagefright é somente um simples desativar de downloads MMS que já existe em diversos aplicativos por aí, não é bem assim.

A diferença entre estes e o recurso do Textra é que ele vai avisar o usuário da ameça antes que ele efetue o download do vídeo.

Nas imagens abaixo isto fica bem claro :

Ou seja, ele faz o que promete com a imagem não sendo baixada para o dispositivo e ainda, sem que seja gerado uma miniatura do mesmo. Portanto, se o vídeo tem um exploit para a biblioteca stagefright ele não vai ser capaz de executar seu código e, logicamente, o vídeo apresenta uma mensagem de “Stagefright protected”, ou seja, protegido do stagefright.

Uma ótima opção pois muitos vão pensar antes de ver vídeos.

E se o usuário for teimoso e resolver clicar em Play na mensagem MMS aparecerá uma caixa ainad maior com um botão ainda maior e um título muito maior escrito “Stagefright” .

Finalmente se o usuário clicar no botão para reproduzir o vídeo ele trará uma última mensagem de aviso para lembrar que os vídeos baixados podem conter um exploit chamado Stagefright ( que até o momento não teve nenhuma versão publicada portanto não há ainda nada que possa fazer a exploração, pelo menos oficialmente ).

Pressionando o botão de aprovação ou ok você irá abrir o vídeo que estava tentando ver.

Se este vídeo não contem o exploit que tem como alvo a biblioteca Stagefright ele vai tocar sem nenhum problema no seu smartphone.

E é isto. Este é  o máximo de proteção que podemos ver até agora. Ou seja, uma série de avisos que irão fazer você desistir de ver um arquivo de vídeo ou então, simplesmente não vão lhe proteger na prática de nada.

O que não fica claro é se a empresa trocou idéia com o profissional que irá apresentar a vulnerabilidade na BlackHat e realmente criou uma vacina no seu programa para que, caso o vídeo tenha a vulnerabilidade ele pare a execucação do mesmo ou nem permita o download ou execução.

O pessoal do Phandroid entrou em contato com a Delicious Inc. para ter mais detalhes sobre a funcionalidade implementada no Textra ou no ChompSMS mas até o momento não receberam nenhum retorno.

Eu também vou fazer isto e se receber algum retorno publicarei aqui para vocês.

Vou deixar também um vídeo que foi publicado sobre isto, e , sinceramente, ainda acho que isto não irá lá resolver muita coisa não.

Ou se cria um pequeno patch para o Android ( talvez dentro de um antivírus por exemplo ) ou então, um módulo para o Xposed.

<div class="developer">
  <span class="label">Developer: </span><br /> <span class="value"><a target="_blank" rel="nofollow" href="httpss://play.google.com/store/apps/developer?id=Delicious"><span>Delicious</span></a></span>
</div>

<div class="price">
  <span class="label">Price: </span><br /> <span class="value">Free</span><br /> <span class="rating"></p> 
  
  <div title="5 of 5 stars" class="rating-stars stars-monochrome stars50">
  </div>
  
  <p>
    </span> </div>
  </p></div> </div> 
  
  <p>
    <!-- /WP-Appbox -->
  </p>
  
  <p>
    <!-- WP-Appbox (Version: 4.4.5 // Store: googleplay // ID: com.p1.chompsms) -->
  </p>
  
  <div class="wpappbox wpappbox-8abab6509e3d538511ffbe05c0663365 googleplay simple">
    <div class="qrcode">
      <img src="httpss://chart.googleapis.com/chart?cht=qr&#038;chl=httpss%3A%2F%2Fplay.google.com%2Fstore%2Fapps%2Fdetails%3Fid%3Dcom.p1.chompsms&#038;chs=200x200&#038;chld=L%7C0" alt="Chomp SMS" />
    </div>
    
    <div class="appicon">
      <a target="_blank" rel="nofollow" href="httpss://play.google.com/store/apps/details?id=com.p1.chompsms"><img src="httpss://play-lh.googleusercontent.com/G1jalUvzKDBMEwP2iYSjWZKVwwN0WHJpFyzh9DOo-Jlnwclqft37T88w4DRMjpLD3ls=s128-h480-rw" alt="Chomp SMS" /></a>
    </div>
    
    <div class="applinks">
      <div class="appbuttons">
        <a target="_blank" rel="nofollow" href="httpss://play.google.com/store/apps/details?id=com.p1.chompsms">Download</a><br /> <span onMouseOver="jQuery('.wpappbox-8abab6509e3d538511ffbe05c0663365 .qrcode').show();" onMouseOut="jQuery('.wpappbox-8abab6509e3d538511ffbe05c0663365 .qrcode').hide();">QR-Code</span>
      </div></p>
    </div>
    
    <div class="appdetails">
      <div class="apptitle">
        <a target="_blank" rel="nofollow" href="httpss://play.google.com/store/apps/details?id=com.p1.chompsms" title="Chomp SMS" class="apptitle">Chomp SMS</a>
      </div>
      
      <div class="developer">
        <span class="label">Developer: </span><br /> <span class="value"><a target="_blank" rel="nofollow" href="httpss://play.google.com/store/apps/developer?id=Delicious"><span>Delicious</span></a></span>
      </div>
      
      <div class="price">
        <span class="label">Price: </span><br /> <span class="value">Free</span><br /> <span class="rating"></p> 
        
        <div title="5 of 5 stars" class="rating-stars stars-monochrome stars50">
        </div>
        
        <p>
          </span> </div>
        </p></div> </div> 
        
        <p>
          <!-- /WP-Appbox -->
        </p>
        
        <p>
          <strong>Via <a href="https://phandroid.com/2015/07/31/stagefright-protection-feature/" target="_blank">Phandroid</a></strong>
        </p>