Samsung gaat met Message Guard chatberichten controleren op zero-click-malware

Samsungs Galaxy S23-telefoons krijgen Message Guard, een functie die afbeeldingen kan scannen op zero-click-malware. Zero-click-malware is malware die zonder dat de gebruiker hier iets voor hoeft te doen, data kan stelen. Message Guard werkt alleen in de Messages-apps.

Wanneer gebruikers via Samsungs of Googles Messages-app een afbeelding ontvangen, wordt deze eerst binnen de sandbox van Samsung Message Guard geopend. Hier kijkt Message Guard of de afbeelding malware bevat die toegang probeert te krijgen tot het besturingssysteem of data op de telefoon. Zo moet Message Guard voorkomen dat dergelijke malware data steelt van de gebruiker.

Samsung claimt dat dergelijke zero-click-malware nog niet voorkomt op Samsungs smartphones, al werd er eerder wel een zero-click-kwetsbaarheid in Samsung-smartphones gevonden. In 2020 zouden tientallen journalisten met Pegasus-spyware aangevallen zijn, dat een zero-click-kwetsbaarheid in iOS misbruikte.

Message Guard werkt automatisch en 'grotendeels onzichtbaar' voor de gebruiker, en kan png-, jpg-, jpeg-, gif-, ico-, webp-, bmp- en wbmp-bestanden scannen op zero-click-malware. De dienst is vooralsnog alleen op de Galaxy S23 beschikbaar, maar moet later dit jaar ook op andere Samsung-smartphones en -tablets verschijnen, mits deze One UI 5.1 of hoger draaien. Later wil Samsung een software-update uitbrengen zodat Message Guard ook op andere berichtenapps werkt, naast de Messages-apps van Google en Samsung.

Reacties (29)

Lees dit artikel eens, legt het wat beter uit:
https://www.phonearena.co...ng-message-guard_id145596
Gaat niet om wat je stuurt via de berichten applicatie maar ontvangt. Denk dus aan MMS berichten of dat nieuwe SMS protocol.
Is feitelijk een soort virus scanner want anders worden de plaatjes al verwerkt om een melding te tonen bijvoorbeeld en kan je telefoon besmet worden.
Hier gebruiken we die protocollen niet want iedereen doet WhatsApp maar elders in de wereld is het anders.

Samsung is juist een van de weinige smartphonefabrikanten gevestigd in een land met een adequaat niveau van bescherming van persoonsgegevens: https://ec.europa.eu/comm...r/detail/en/qanda_21_6916 en dat kan je van Amerikaanse en vooral Chinese fabrikanten niet stellen.

De enige communicatie die hiervoor nodig is, is het downloaden van signatures van gekende malware. Dat is vergelijkbaar met welke AV doet - ga je overal je AV verwijderen? Lijkt toch niet het beste plan...

Ze mogen al helemaal niet meekijken wat ik stuur.

Het gaat niet om wat jij vind 👀😄

Waar ik altijd verbaast over ben is dat zoveel bedrijven klakkeloos dit soort software gebruiken waarbij derden bedrijfskritische informatie ontvangen en/of een duidelijk beeld kunnen krijgen van de gebruikers.
Overheden doen er ook lekker aan mee.


Dit gebeurt overigens ook bij andere apps zoals Whatsapp terwijl de claim dat het “end-to-end encrypted” is.
Dmv zogeheten photo-dna weten hebben ze een goed beeld.

Wacht even… je ontvangt een media/plaatje en door dat zo te malformem kan dat code uitvoeren? Dan heb je geen virusscanner nodig, maar dan moet je je image library verbeteren zodat plaatjes in geen enkel geval code kunnen uitvoeren want het zijn immers plaatjes, geen executables….

Krijg hier weer zo’n VBA en PDF feature bloat gevoel bij - dat bleek immers ook een enorme aanvalsvector….

De vergelijking met pdf gaat niet op. Uitvoerbare code is een bug geen feature zoals het bij PDF wel het geval is.

Door, ongepubliceerde, fouten in de image parser te misbruiken kan jij code uitvoeren. Een welbekende is het gif/JBIG2 formaat incombinatie met de xpdf (laat je niet misleiden door de naam) parser waarbij met slimme trucjes code kon worden uitgevoerd na een serie integer overflows bij decompressie van de zwaar gecomprimeerde data.

[Reactie gewijzigd door Caayn op 17 februari 2023 23:06]

Als ze dan zo'n afbeelding aantreffen zouden ze gelijk het bijbehorende lek in de parser moeten kunnen vinden.

Ja, maar de aanvallers zullen niet eerst netjes de plaatjes naar Samsung sturen om het lek te dichten. En dus brengen ze een stukje software uit wat dit op elke smartphone kan detecteren, en dan zal dat ongetwijfeld worden doorgestuurd voor verder onderzoek.

Ik lees het als best slim.

Je laadt het plaatje in sandbox, en als het dingen voor elkaar probeert te krijgen, block je het.

Het plaatje rapporteur je terug zodat je de library kan fixed.

Ik snap niet dat iedereen hier zo paranoia is. Afbeeldingen worden geladen in een sandbox en code die niet behoord tot het renderen van images wordt geflagged. Het concept geeft totaal niet aan dat er verbinding met de servers van Samsung wordt gemaakt.

Ik ben er nu aan gewend dat zo ongeveer alle software van foutn aan elkaar hangt, maar als ik zoiets lees bekruipt me altijd weer het gevoel: kan zo'n relatief eenvoudige "jpg interpreter" nou echt niet zo simpel gemaakt worden dat zulke dingen mogelijk zijn, ook al is het dan wat minder efficient en krachtig? Met andere woorden, kunnen we bij software ook niet eisen dat met name veel gebruikte blokken wat robuuster worden opgezet?
Ik ben me bewust dat het antwoord waarschijnlijk "nee" is, maar is geen hardware te vinden die zo gammel is als de software die de hele wereld dagelijks gebruikt.
https://en.wikipedia.org/wiki/Programming_complexity

En ondertussen scannen ze de rest ook mee natuurlijk. Het wordt altijd gebracht als een feature, maar er blijkt later altijd weer bugs te zijn. Gewoon lekker uitzetten. Scannen doen ze maar in hun eigen chats.

Ondertussen zou ik graag enige onderbouwing van je claim willen zien

Ik ook
Want als ik op mn laptop geen internetverbinding heb en ik zou bijvoorbeeld een geïnfecteerde usb stick in mn laptop steken, dan zou mijn av die ook onderscheppen (in de veronderstelling dat mn virusscanner up-to-date is en de infectie een bekende is).

messages-app is sms app?
zo ja, dan heb je waarschijnlijk internetverbinding voor je sms-app nodig.
of anders...hoe gaat het werken zonder internet?

Euhm... Op dezelfde manier als hoe oude non-smart telefoons die geen eens op internet kunnen SMS'jes ontvangen?

Dan voor deze software specifiek gecombineerd met hoe een virusscanner werkt als je pc ff geen internet meer heeft. Die stopt immers ook niet met functioneren wanneer je geen internet hebt 🙃.

Ow.. NIET
* MrMonkE wist 2 paragrafen

Ja, mee eens.

Dan mogen ze die message guard wel heel goed bouwen; een zero click betekent nogal wat. (voor zowel het OS, als de ontwikkelaars van dat OS)
In principe als een app goed is ontwikkeld hoe kant het dan zo zijn dat er uitvoerbare code wordt uitgevoerd bij iets wat tekst heet? (Buiten dat het ook -blijkbaar- wordt uitgevoerd.)

Lekker blijven betalen met je telefoon....

In principe als een app goed is ontwikkeld hoe kant het dan zo zijn dat er uitvoerbare code wordt uitgevoerd bij iets wat tekst heet? (Buiten dat het ook -blijkbaar- wordt uitgevoerd.)

Als het bestand eerst een getal bevat en daarna een hoeveelheid gegevens die daar niet mee overeenkomt krijg je een bufferoverflow als het programma niet goed uitkijkt.

Ja, helemaal eens... Dat hoort niet. Waarom dan een pleister (message guard) in plaats van goede code in het programma die dat "negeert"?

Omdat je nog niet weet of er fouten in zitten.

Hoe gaat message guard dat dan "tracken"? Is het een sandbox die de code analyseert? (En dus laat uitvoeren...) Ik zou verwachten dat de messages als platte tekst worden behandeld door het systeem zelf en dus een andere vorm van "input validation" hebben.
Ik snap precies wat je zegt hoor. Maar ik vind de oplossing vreemd, aangezien de kwetsbaarheid eigenlijk in het systeem blijft.
Buiten dat wordt er hoogstwaarschijnlijk "gedeeld" als het een true positive is.
edit: typo

Bij een programma dat plaatjes weergeeft verwacht je niet dat het bijvoorbeeld andere bestanden leest of schrijft of verbinding via internet maakt. Daar kun je naar kijken als je in een sandbox zit.

Dat klopt, maar fouten kunnen *ook* in de message guard software zitten en daar kan ook gewoon een buffer overflow in voorkomen.

Die sandbox is een goed idee, maar waarom dan niet gewoon de hele SMS app sandboxen?

[Reactie gewijzigd door GekkePrutser op 20 februari 2023 17:18]

Omdat perfecte code moeilijk te schrijven is. Vooral als men ook geanimeerde plaatjes, links, etc wil hebben.
Lees eens over de werking van de XPDF / JBIG2 bug bij Apple... Dat is echt verrekt slim misbruikt.

check, dat is de eerste echte motivatie waar ik me in kan vinden.
Ik ben me heel bewust dat perfecte code niet bestaat. Maar beter dan dit.....anyway

Je kunt dit omzeilen door een sandbox mailprogramma te gebruiken. Oké van Samsung dit in het communicatie hand schudden wordt verbeterd. iOS gebruikt dit ook maar alleen voor hun eigen productielijn.

edit: oké etc.

[Reactie gewijzigd door DefaultError op 18 februari 2023 11:14]