Die Analysten von Check Point haben festgestellt, dass zahlreiche Android-Geräte (insbesondere von Samsung, Huawei, LG, Sony und möglicherweise weiteren Herstellern) für interessante Angriffe anfällig sind. Sie benötigen lediglich eine einzige speziell gestaltete SMS, die in der Regel von Mobilfunkbetreibern zu stammen scheint, und ein Angreifer kann dann die E-Mails oder den Datenverkehr von anfälligen Geräten abfangen.
Das von den Experten identifizierte Problem betrifft die OMA-CP-Spezifikationen (Open Mobile Alliance Client Provisioning). Dabei handelt es sich um einen Standard, mit dem Mobilfunkbetreiber Netzwerkparameter in Form spezieller Nachrichten an Kundengeräte senden können. Diese Nachrichten können MMS-Serverparameter, eine Proxy-Adresse, einen Mailserver, eine Browser-Startseite sowie Lesezeichen-Einstellungen und Server für die Synchronisierung von Kontakten und Kalender usw. enthalten.
Die Forscher von Check Point haben festgestellt, dass vier Smartphone-Hersteller diesen Standard auf ihren Geräten unsicher implementiert haben. Smartphones von Samsung, Huawei, LG und Sony können OMA-CP-Nachrichten empfangen, selbst wenn diese aus einer unzuverlässigen Quelle stammen.
Die Experten betonen, dass der einfachste Weg, Samsung-Geräte anzugreifen, darin besteht, dass sie alle OMA-CP-Nachrichten ohne Authentifizierung oder Überprüfung akzeptieren. Huawei-, LG- und Sony-Smartphones sind etwas besser geschützt, da in ihrem Fall der Absender der Nachricht zumindest IMSI-Daten der Geräte angeben muss.
Obwohl IMSI-Codes theoretisch schwer zu beschaffen sind, erklären die Experten von Check Point, dass hier nichts unmöglich ist. So bieten Mobilfunkbetreiber kostenpflichtige Dienste an, mit denen sie Telefonnummern für externe Mobilfunkdienstleister in IMSI-Codes umwandeln. Mit anderen Worten: Ein Angreifer kann die IMSI-Nummer beim Anbieter zu geringen Kosten erhalten. Schlimmer noch: Fast ein Drittel der Android-Apps hat Zugriff auf IMSI-Daten der Geräte, da sie die entsprechenden Berechtigungen angefordert und erhalten haben. Das bedeutet, dass Angreifer die über schädliche Apps oder Datenlecks erlangten IMSI-Codes nutzen können.
Obwohl der von Check Point beschriebene Angriff nicht automatisch erfolgt (der Nutzer muss eine Schaltfläche drücken und die Installation der neuen Einstellungen des Angreifers bestätigen), warnen die Forscher, dass Angreifer den Absender leicht vortäuschen können. Tatsächlich hat der Empfänger keine wirkliche Möglichkeit festzustellen, wer die Nachricht gesendet hat. Leider bedeutet dies, dass viele Nutzer zustimmen werden, die Geräteeinstellungen durch neue zu ersetzen, in dem Glauben, sie stammten von einem echten Mobilfunkbetreiber.
Indem der Angreifer die Einstellungen ändert, kann er beispielsweise den gesamten Datenverkehr des Opfers über seinen schädlichen Server umleiten. Für die Durchführung eines solchen Angriffs ist keine spezielle Ausrüstung erforderlich: Ein GSM-Modem (ein USB-Dongle für etwa 10 Dollar oder ein Telefon im Modemmodus) und ein einfaches Skript reichen aus, um die speziellen SMS zu versenden.
Glücklicherweise arbeiten drei der vier im Expertenbericht genannten Hersteller bereits an der Behebung dieses Problems:
- Samsung hat eine Korrektur für dieses Problem im Mai-Sicherheitsupdate ( SVE-2019-14073 ) aufgenommen;
- LG hat seinen Patch im Juli veröffentlicht ( LVE-SMP-190006 );
- Huawei plant, die notwendigen Korrekturen an der Benutzeroberfläche für die nächste Generation der Smartphones der Mate- und P-Serie vorzunehmen.
Der einzige Hersteller, der das Problem nicht beheben wird, ist Sony. Forscher erklärten, dass die Ingenieure von Sony “sich geweigert haben, die Schwachstelle anzuerkennen, und behaupteten, ihre Geräte entsprächen der OMA-CP-Spezifikation”.
Die Analysten von Check Point empfehlen jedoch nicht nur den Herstellern, Patches zu veröffentlichen, sondern auch den Nutzern, diese zu installieren. Ihrer Ansicht nach sollten Mobilfunkbetreiber OMA-CP-Nachrichten auf Netzwerkebene blockieren, damit solche Nachrichten ihre Netze nicht passieren können, es sei denn, sie werden vom Betreiber selbst gesendet. Nach Einschätzung der Experten ist es derzeit unmöglich, OMA-CP-Nachrichten zu vertrauen, und es ist besser, sie alle abzulehnen.
