Los analistas de Check Point han constatado que numerosos dispositivos Android (en particular de Samsung, Huawei, LG, Sony y quizás de otros fabricantes) son vulnerables a ataques preocupantes. Bastará con simular un único mensaje SMS especial, que normalmente proviene de los operadores de telefonía móvil, y un atacante podrá interceptar el correo electrónico o el tráfico de los dispositivos vulnerables.
El problema identificado por los expertos está relacionado con las instrucciones OMA CP (Open Mobile Alliance Client Provisioning). Se trata de un estándar que permite a los operadores de telefonía móvil enviar parámetros de red en forma de mensajes especiales a los dispositivos cliente.Estos mensajes pueden contener parámetros del servidor MMS, una dirección de proxy, un servidor de correo electrónico, una página de inicio del navegador y parámetros de marcadores, servidores para la sincronización de contactos y calendario, etc.
Los investigadores de Check Point han constatado que cuatro fabricantes de smartphones han implementado esta norma en sus dispositivos de forma insegura. Los smartphones de Samsung, Huawei, LG y Sony pueden recibir mensajes OMA CP, incluso si proceden de una fuente poco fiable.
Los expertos subrayan que la forma más sencilla de atacar los dispositivos Samsung es que aceptan todos los mensajes OMA CP sin autenticación ni verificación. Los smartphones de Huawei, LG y Sony están ligeramente mejor protegidos, ya que, en su caso, el remitente del mensaje debe proporcionar al menos el IMSI del dispositivo.
Aunque los códigos IMSI son teóricamente difíciles de obtener, los expertos de Check Point explican que aquí nada es imposible. Por ejemplo, los operadores móviles ofrecen servicios de pago con los que convierten los números de teléfono en códigos IMSI para proveedores de servicios móviles de terceros. Es decir, un atacante puede obtener el IMSI del proveedor a bajo coste. Peor aún, casi un tercio de las aplicaciones Android tienen acceso a los identificadores IMSI, porque han solicitado y recibido los permisos correspondientes. Esto significa que los piratas pueden utilizar los códigos IMSI obtenidos mediante aplicaciones maliciosas o filtraciones de datos.
Aunque el ataque descrito por Check Point no es automático (el usuario debe pulsar un botón y aceptar la instalación de la nueva configuración del atacante), los investigadores advierten que los atacantes pueden simular fácilmente al remitente. De hecho, el destinatario no tiene forma real de determinar quién envió el mensaje. Por desgracia, esto significa que muchos usuarios aceptarán reemplazar la configuración del dispositivo por una nueva, creyendo que procede de un auténtico operador de telefonía móvil.
Por consiguiente, al modificar la configuración, el atacante puede, por ejemplo, redirigir todo el tráfico de la víctima a través de su servidor malicioso. Para llevar a cabo un ataque de este tipo no se necesita equipo especial: un módem GSM (un dongle USB de 10 dólares o un teléfono que funcione en modo módem) y un simple script bastarán para enviar los SMS especiales.
Afortunadamente, tres de los cuatro fabricantes identificados en el informe de los expertos ya trabajan para solucionar este problema:
- Samsung ha incluido una corrección para este problema en el paquete de actualización de mayo (SVE-2019-14073);
- LG publicó su corrección en julio (LVE-SMP-190006);
- Huawei prevé realizar los ajustes necesarios en la interfaz de usuario para la próxima generación de smartphones de las series Mate y P.
El único fabricante que no resolverá el problema es Sony. Los investigadores explicaron que los ingenieros de Sony “se negaron a reconocer la vulnerabilidad, alegando que sus dispositivos cumplían con la especificación OMA CP”.
Pero los analistas de Check Point recomiendan no solo que los fabricantes publiquen las correcciones, sino también que los usuarios las instalen. Según ellos, los operadores de telefonía móvil deberían bloquear los mensajes OMA CP a nivel de red para que este tipo de mensajes no puedan circular por sus redes, salvo que los envíe el propio operador. Según los expertos, actualmente es imposible confiar en los mensajes OMA CP y es preferible rechazarlos todos.
