Кратко (TL;DR): Новая zero-click атака «SMS смерти» может полностью вывести из строя Android-смартфоны с версией от 12-й до 17-й, вплоть до сброса до заводских настроек. Код эксплойта уже опубликован в открытом доступе. Единственная надёжная защита — отключить RCS и заблокировать SMS от незнакомых отправителей. Приватный анти-DPI мульти-ключ с обходом белых списков доступен в Telegram-боте @yavpn_robot.

Исследователи безопасности опубликовали детали критической уязвимости в стеке сообщений Android, получившей название «SMS смерти». Атака не требует никаких действий от пользователя — достаточно просто получить специально сформированное SMS или RCS-сообщение, чтобы система рухнула, а в некоторых случаях — выполнила полный сброс до заводских настроек. Код эксплойта уже выложен в открытый доступ, что делает эту угрозу крайне опасной для миллионов устройств на Android 12–17.

Как работает «SMS смерти»

Уязвимость кроется в том, как стандартное приложение для сообщений Android обрабатывает входящие SMS. Отправляя искажённый пакет, злоумышленник вызывает переполнение буфера в парсере сообщений системы. Это переполнение повреждает память в пространстве ядра, что приводит к kernel panic — полному краху системы. На некоторых устройствах повреждение настолько серьёзное, что стирает раздел с пользовательскими данными, фактически выполняя сброс до заводских настроек без какого-либо подтверждения.

Атака zero-click: жертве не нужно открывать сообщение, переходить по ссылке или скачивать файл. Достаточно просто получить SMS. Это делает уязвимость особенно опасной для тех, кто держит смартфон онлайн и получает сообщения от незнакомых номеров.

Кто в зоне риска

Уязвимы все версии Android с 12-й (вышла в 2021 году) по 17-ю (на базе Android 15). Google пока не выпустила патч, а код эксплойта уже гуляет по хакерским форумам и репозиториям GitHub. Устройства Samsung, Xiaomi, OnePlus и других крупных производителей — все под ударом, так как проблема в ядре Android, а не в фирменных оболочках.

Что делать прямо сейчас

  • Отключите RCS: Зайдите в настройки приложения «Сообщения» и выключите RCS (Rich Communication Services). Это заблокирует самый опасный вектор атаки.
  • Заблокируйте SMS от незнакомцев: Включите фильтрацию сообщений от номеров, которых нет в вашей адресной книге. Это снизит шанс получения вредоносного SMS.
  • Используйте сторонние мессенджеры: Signal, Telegram и другие приложения не используют уязвимый парсер Android.
  • Следите за обновлениями: Устанавливайте патчи безопасности от Google и производителя устройства, как только они выйдут.

Долгосрочная защита

Пока Google не выпустит постоянное исправление, safest approach — минимизировать поверхность атаки. Если ваш провайдер режет трафик или нужен мульти-ключ с обходом белых списков от 5 рублей в сутки, загляните в @yavpn_robot — там можно получить приватное зашифрованное соединение, которое не полагается на SMS.