Et team af sikkerhed forskere har beskrevet en anden SMS-baserede angreb, som kan give ondsindede aktører til at spore brugernes enheder ved at misbruge lidet kendte apps, der kører på SIM-kort.
Dette nye angreb, opkaldt WIBattack, er identisk med Simjacker, et angreb, der videregives i starten af den måned, som mobile security firma AdaptiveMobile.
Både angreb arbejde på samme måde, og de giver adgang til kommandoer, der ligner hinanden, med den undtagelse, at de er rettet mod forskellige apps, der kører på SIM-kort.
Hovedsagelig, Simjacker kører kommandoer mod S@T Browser app, mens WIBattack sender kommandoer til det Trådløse Internet Browser (WIB) app.
Begge er Java-applets, at mobil teleselskaber installere på SIM-kort, de leverer til deres kunder. Formålet med disse programmer er at tillade fjernadministration for kunden enheder og deres mobil abonnementer.
WIBattack
I en rapport udgivet tidligere i denne måned, AdaptiveMobile sagde, at det opdaget, at en “privat virksomhed, der arbejder med regeringer”, var at bruge rogue kommandoer, der sendes til S@T Browser apps, der kører på SIM-kort til at spore personer.
I en rapport offentliggjort i sidste weekend, sikkerhed forskere fra Ginno Sikkerhed Labs sagde, at WIB-app er også sårbare over for lignende angreb, selv om de ikke var bekendt med eventuelle angreb.
I tilfælde af, at både S@T og WIB apps, angribere kan sende en specielt formateret binære SMS (kaldet en OTA-SMS), der vil udføre STK (SIM Værktøjssæt) instruktioner om, SIM-kort, som teleselskaber ikke muligt for de særlige sikkerhedsfunktioner.
De kommandoer, der understøttes på WIB-app, der er omtrent de samme som dem, der understøttes af S@T-Browser, som er:
Få placering dataStart callSend SMSSend SS requestsSend USSD-requestsLaunch internet browser med en specifik URLDisplay tekst på devicePlay en tone
Ligesom Simjacker angreb, Ginno Sikkerhed Labs forskere siger, at dette angreb kan også misbruges til at spore brugere. Hvis der anvendes af en dygtig hacker, kan de tillade en trussel skuespiller til at spore et offer placering eller start telefon opkald og lytte til den nærliggende samtaler.
Billede: Ginno Sikkerhed Labs
Forskere siger, at de opdagede WIBattack tilbage i 2015, da de også fandt Simjacker angreb (som de kaldte S@Tattack), men gjorde ikke gå kønsbehåring med deres resultater.
De anslog antallet af enheder, der kører SIM-kort med en WIB app på “hundreder af millioner.”
Skræmmende tal ikke holder vand
Men det skøn, at Simjacker og WIBattack indvirkning hundredvis af millioner af SIM-kort er muligvis ikke nøjagtig, ifølge en rapport ZDNet har i denne uge fra SRLabs.
Den SRLabs team, en velkendt ekspert inden for mobil og telco sikkerhed, der tidligere er udviklet to apps ved navn SIMTester og SnoopSnitch.
Det første er et desktop-program, som brugere kan installere og teste deres SIM-kort for sikkerhedshuller. Den anden er en Android app, der kører på rod-enheder med Qualcomm chipsæt, og som kan teste smartphones til forskellige SIM -, mobil-netværk, og OS sikkerhedshuller.
Forskere, der anvendes telemetri fra både apps til at undersøge bredden af Simjacker og WIBattack sårbarheder.
I alt, de modtagne data fra 800 SIM-kort test via SIMTest app, fra hele verden. Resultaterne viste, at de fleste mobil teleselskaber ikke skibet S@T og WIB-applets længere.
9,4% af de testede SIMs har S@T-applet installedA delmængde af 5.6% er sårbare over for Simjacker, fordi deres protection level blev sat til at zero10.7% har WIB applet installedA delmængde af 3,5% er sårbare over for en Simjacker-style-angreb mod WIB appletIn alt 9,1% af testede SIM-kort, der var sårbare over for angreb mod enten S@T eller WIB
Endvidere data fra mere end 500.000 SnoopSnitch brugere viste, at kun et meget lille antal brugere, der er modtaget OTA SMS-beskeder, som dem, der er nødvendige for at udnytte Simjacker og WIBattack.
Vi har modtaget rapporter fra 8 brugere om 29 OTA SMS rettet mod den S@T appletThe første besked, der blev rapporteret i 2016Most af de meddelelser, der er målrettet brugere i Latin-og Sydamerika
Disse resultater betyder, at de fleste brugere i dag er sikker fra disse trusler, som bekræfter, at private samtaler, at denne journalist har haft med mobil sikkerhed eksperter, der sagde, at kun en håndfuld af mobil udbydere i hele verden skib SIM-kort med de to apps, det meste ligger i MENA, Østeuropa og latinamerika.
Ikke et farligt angreb, når der sammenlignes med andre
Brugere, der er nysgerrig efter at se, om deres telefoner ” SIM-kort, løber den S@T eller WIB apps kan installere og køre den SIMTest app.
Men selv om de to SIM-kort-apps er installeret, SRLabs team sagt, at det ikke automatisk betyde, at SIM-kortet er sårbare. At være sårbar og nemmere, hackere vil være nødvendigt at have evnen til at sende OTA SMS-beskeder til de to apps, noget, der teleselskaber kan blokere ved at aktivere sikkerhedsfunktioner på to SIM-kort-apps.
Medmindre S@T og WIB minimum have et sikkerhedsniveau (MSL) indeks på 0, den medfødte sikkerhed funktion til stede i de to apps skal forhindre tilfældige fremmede fra at sende binære OTA SMS-beskeder, der udløser skjulte kommando henrettelser.
Karsten Nohl, en sikkerhedsekspert med SRLabs, også kaldet til ro i et interview med ZDNet i denne uge.
“I forbindelse med mobile netværk hacks, Simjacker ville fremstå mindre attraktiv for kriminelle end SS7 angreb eller social engineering, såsom SIM-swapping,” sagde han.
“Mens SS7 hacks og SIM-swaps er rapporteret i stort tal, Simjacker angreb ser ud til at synes kun anekdotisk i sammenligning.”
Med andre ord, du er mere sårbare over for din mobil telco ‘ s medarbejdere assiginign dit telefonnummer til en hacker, i stedet for at blive bombarderet med skyggefulde OTA SMS-beskeder.
Sikkerhed
Kære netværk operatører, kan du bruge de eksisterende værktøjer til at lave sikkerhed
Massiv bølge af hensyn kaprer hits på YouTube skabere
Apple kastreret ad-blokering i Safari, men i modsætning til Chrome, brugere ikke kan sige en ting
GDPR et år senere: De udfordringer, organisationer står stadig over for (ZDNet YouTube)
Den bedste DIY sikkerhed i hjemmet systemer i 2019 (CNET)
Regeringer, der stadig kæmper for at slås med weaponized sociale medier platforme (TechRepublic)
Relaterede Emner:
Mobil-OS
Sikkerhed-TV
Data Management
CXO
Datacentre