Ny sikkerhedsbrist: Gør din smartphone sårbar overfor SMS-phishingangreb

Industristandarden for over-the-air (OTA) har så dårlig sikkerhed, at hackere kan fremstå som netværksoperatører og narre informationer ud af intetanede brugere.

Ny sikkerhedsbrist: Gør din smartphone sårbar overfor SMS-phishingangreb

En ny sikkerhedsbrist, der gør din smartphone sårbar overfor SMS-phishingangreb, er fundet. Sårbarheden fandtes særligt hos smartphones fra blandt andet Samsung, Huawei, LG og Sony.

Det er Check Point Software Technologies, der er ude med en advarsel om den nye sikkerhedsbrist, der altså gør brugere af Android smartphones sårbar overfor SMS-phishingangreb. Sikkerhedsfejlen kan potentielt have ramt alle, der benytter en Android smartphone fra mærker som Samsung, Huawei, LG og Sony.

De berørte Android telefoner bruger over-the-air (OTA), som mobilnetværksoperatører kan bruge til at distribuere netværksspecifikke indstillinger til en ny telefon, der slutter sig til deres netværk. Check Point Research fandt imidlertid ud af, at industristandarden for OTA, Open Mobile Alliance Client Provisioning (OMA CP), indeholder begrænsede godkendelsesmetoder. Det kan hackere udnytte til at fremstå som netværksoperatør og sende vildledende OMA CP-meddelelser til brugere.

Meddelelsen narrer herigennem brugere til at acceptere ondsindede indstillinger, der for eksempel dirigerer deres internettrafik gennem en proxyserver, der er ejet af en hacker.

Se også: Find priser på mobilpakker

 

Samsung-mobiler særligt udsatte

Det er særligt visse af Samsung telefoner, der er mest sårbare over for denne form for SMS-phishingangreb, idet de ikke har en godkendelsesproces, der afgør om afsenderen af OMA CP-meddelelserne er ægte. Brugeren behøver kun at acceptere CP-meddelelserne, hvorefter den ondsindede software bliver installeret.

Huawei, LG og Sony telefoner har, modsat Samsung, en form for godkendelsesproces, men den kan dog let omgås af hackere, idet hackeren kun har brug for brugerens internationale mobilabonnentsidentitet (IMSI), for at få bekræftet deres identitet og derved omgå godkendelsesprocessen.

Hackerne kan tilgå en brugers IMSI på flere forskellige måder, herunder oprette en Android-app, der læser telefonens IMSI, når den er installeret. Hackerne kan ligeledes omgå behovet for en IMSI ved at sende brugeren en tekstmeddelelse, der fremstår som værende fra brugerens netværksoperatør, hvor de beder modtageren om at acceptere en pin-beskyttet OMA CP-meddelelse. Hvis brugeren derefter indtaster det angivne PIN-nummer og accepterer OMA CP-meddelelsen, kan CP’en installeres uden en IMSI.

Se også: Find bedste tilbud på mobiltelefoner

 

“Kritisk sårbarhed” 

“Taget populariteten af Android telefoner i betragtning, så er dette en kritisk sårbarhed, der skal løses” siger Slava Makkaveev, sikkerhedsforsker hos Check Point Software Technologies.

Han forklarer, at uden en stærkere form for godkendelsesproces, så er det for let for en hacker at starte et SMS-phishingangreb gennem OTA. “Når brugeren modtager en OMA CP-meddelelse, kan de på ingen måde skelne mellem, om den kommer fra en betroet eller en ondsindet kilde. Ved at klikke på “Accepter” kunne de meget vel lade en hacker komme ind på deres telefon.”

Check Point afslørede deres opdagelse over for de berørte leverandører i marts. Samsung implementerede en rettelse, der adresserede denne type angreb i deres sikkerhedsudgivelse for maj, LG frigav deres løsning i juli (LVE-SMP-190006), og Huawei planlægger at inkludere UI-rettelser til OMA CP i næste generation af deres Mate-serie eller P-serie smartphones. Sony nægtede at anerkende sårbarheden og oplyste, at deres enheder følger OMA CP-specifikationen, oplyser Check Point.

Se også: Nyheder om IT sikkerhed