Gli analisti di Check Point hanno scoperto che numerosi dispositivi Android (in particolare Samsung, Huawei, LG, Sony e forse anche altri produttori) sono vulnerabili ad attacchi interessanti. Basta simulare un singolo SMS speciale, che di norma proviene dagli operatori di telefonia mobile, e un malintenzionato potrà intercettare la posta elettronica o il traffico proveniente dai dispositivi vulnerabili.
Il problema individuato dagli esperti riguarda le istruzioni OMA CP (Open Mobile Alliance Client Provisioning). Si tratta di uno standard che consente agli operatori di telefonia mobile di inviare parametri di rete sotto forma di messaggi speciali ai dispositivi client.Questi messaggi possono contenere parametri del server MMS, un indirizzo proxy, un server di posta elettronica, una pagina iniziale del browser e impostazioni dei segnalibri, server per la sincronizzazione dei contatti e del calendario, ecc.
I ricercatori di Check Point hanno constatato che quattro produttori di smartphone avevano implementato questo standard sui loro dispositivi in modo non sicuro. Gli smartphone Samsung, Huawei, LG e Sony possono ricevere messaggi OMA CP, anche se provengono da una fonte poco affidabile.
Gli esperti sottolineano che il modo più semplice per attaccare i dispositivi Samsung è che accettano tutti i messaggi OMA CP senza autenticazione né verifica. Gli smartphone Huawei, LG e Sony sono leggermente più protetti perché, nel loro caso, il mittente del messaggio deve almeno fornire l’IMSI del dispositivo.
Sebbene gli IMSI siano teoricamente difficili da ottenere, gli esperti di Check Point spiegano che qui nulla è impossibile. Ad esempio, gli operatori mobili forniscono servizi a pagamento con cui convertono i numeri di telefono in IMSI per i fornitori di servizi mobili di terze parti. In altre parole, un attaccante può ottenere l’IMSI dal fornitore a un costo contenuto. Ancora peggio, quasi un terzo delle applicazioni Android ha accesso agli IMSI dei dispositivi, perché ha richiesto e ottenuto le autorizzazioni appropriate. Ciò significa che i malintenzionati possono utilizzare gli IMSI ottenuti tramite applicazioni dannose o fughe di dati.
Sebbene l’attacco descritto da Check Point non sia automatico (l’utente deve premere un pulsante e accettare l’installazione delle nuove impostazioni dell’attaccante), i ricercatori avvertono che gli attaccanti possono facilmente falsificare il mittente. In effetti, il destinatario non ha alcun modo reale per stabilire chi abbia inviato il messaggio. Purtroppo, ciò significa che molti utenti accetteranno di sostituire le impostazioni del dispositivo con nuove, credendo che provengano da un vero operatore di telefonia mobile.
Di conseguenza, modificando le impostazioni, l’attaccante può, ad esempio, reindirizzare tutto il traffico della vittima attraverso il proprio server dannoso. Per mettere in atto un attacco del genere non serve alcuna attrezzatura speciale: un modem GSM (una chiavetta USB da 10 dollari, o un telefono che funziona in modalità modem) e uno script semplice sono sufficienti per inviare gli SMS speciali.
Per fortuna, tre dei quattro produttori individuati nel rapporto degli esperti stanno già lavorando per risolvere il problema:
- Samsung ha incluso una correzione per questo problema nel kit di aggiornamento di maggio ( SVE-2019-14073 );
- LG ha rilasciato la sua correzione a luglio ( LVE-SMP-190006 );
- Huawei prevede di apportare le necessarie correzioni all’interfaccia utente per la prossima generazione di smartphone delle serie Mate e P.
L’unico produttore che non risolverà il problema è Sony. I ricercatori hanno spiegato che gli ingegneri di Sony “hanno rifiutato di riconoscere la vulnerabilità, affermando che i loro dispositivi erano conformi alla specifica OMA CP”.
Ma gli analisti di Check Point raccomandano non solo ai produttori di rilasciare le correzioni, ma anche agli utenti di installarle. Secondo loro, gli operatori di telefonia mobile dovrebbero bloccare i messaggi OMA CP a livello di rete, in modo che questo tipo di messaggi non possa transitare sulle loro reti, a meno che non siano inviati dall’operatore stesso. Secondo gli esperti, al momento è impossibile fidarsi dei messaggi PC OMA e sarebbe meglio rifiutarli tutti.
