A Check Point Research, fornecedor global líder em soluções de cibersegurança, acaba de revelar uma falha de segurança nos telefones com sistemas operativos Android da Samsung, Huawei, LG e Sony, que deixa os utilizadores vulneráveis a ataques de phishing.
Os telefones Android afetados utilizam o aprovisionamento over-the-air (OTA), pelo qual cada operador de redes móveis pode disponibilizar funcionalidades de rede específicas a um novo telefone que adira às suas redes. No entanto, a Check Point Research descobriu que o standard de mercado para o aprovisionamento OTA, o Open Mobile Alliance Client Provisioning (OMA CP), inclui métodos de autenticação limitados. Agentes remotos podem explorar esta fraqueza para assumirem-se como operadores de rede e enviar mensagens OMA CP falsas para os utilizadores. A mensagem engana os utilizadores ao aceitarem configurações maliciosas que podem, por exemplo, direcionar o seu tráfego de internet através de um servidor de proxy controlado pelo hacker.
Os investigadores determinaram que em certos telefones Samsung são mais vulneráveis a este tipo de ataque de phishing por não terem um processo de certificação de envio para emissores de mensagens OMA CP. O utilizador só precisa de aceitar o CP e o software malicioso será instalado de imediato sem que o emissor necessite de provar a sua identidade.
Os telefones Huawei, LG, e Sony têm esse forma de autenticação, porém os hackers só precisam de ter o International Mobile Subscriber Identity (IMSI) do recetor para ‘confirmar’ a sua identidade. Os atacantes podem obter o IMSI da vítima de diversas formas, que incluem criar uma app básica para Android que leia o IMSI do telefone mal seja instalado. O atacante pode também saltar a necessidade de obter o IMSI ao enviar ao utilizador uma mensagem fingindo que é o operador de rede e a pedir que aceite uma mensagem OMA CP protegida por pin. Se o utilizador indicar o número de PIN e aceitar a mensagem OMA CP, o CP pode ser instalado sem necessidade do IMSI.
“Devido à popularidade dos dispositivos Android, esta é uma vulnerabilidade crítica que deve ser solucionada,” afirma Slava Makkaveev, Security Researcher na Check Point Software Technologies. “Sem uma forma de autenticação forte, é fácil um agente malicioso lançar um ataque de phishing através de aprovisionamento over-the-air. Quando os utilizadores recebem uma mensagem OMA CP, não têm forma de perceber se é uma mensagem proveniente de uma fonte segura. Ao clicar “aceitar”, podem estar a dar permissão a um atacante aceder ao seu telefone.”
Os investigadores apresentaram esta informação aos diversos fabricantes em Março. A Samsung incluiu uma solução para resolver este processo de phishing na sua Release de segurança de manutenção de maio (SVE-2019-14073), a LG lançou em julho (LVE-SMP-190006), e a Huawei está a planear incluir melhorias UI para OMA CP na próxima geração de smartphones Mate series e P serie. A Sony recusou-se a tomar conhecimento desta vulnerabilidade, afirmando que os seus dispositivos seguem as especificações OMA CP.
O Check Point SandBlast Mobile previne ataques de phishing e de Man-in-the-Middle, para ajudar a proteger os dispositivos contra mensagens OMA CP maliciosas. Para saber mais sobre este tema, visite: https://www.checkpoint.com/products/mobile-security/
Para mais detalhes sobre esta pesquisa, visite o nosso blog em: https://research.checkpoint.com/advanced-sms-phishing-attacks-against-modern-android-based-smartphones
