Check Point Research, de onderzoekstak van Check Point Software Technologies, heeft een beveiligingsfout ontdekt in smartphones die met het besturingssysteem van Android werken. Onder meer toestellen van Samsung, Huawei, LG, en Sony kunnen kwetsbaar zijn voor geavanceerde phishing-aanvallen via sms.
De getroffen Android-telefoons maken gebruik van OTA-provisioning (Over The Air), waardoor mobiele netwerkproviders specifieke netwerkinstellingen kunnen implementeren op een nieuwe telefoon die zich bij hun netwerk aansluit. Check Point heeft echter vastgesteld dat de industriestandaard voor OTA – zogeheten Open Mobile Alliance Client Provisioning (OMA CP) – beperkte verificatiemethoden gebruikt. Kwaadwillenden kunnen dit misbruiken door zich voor te doen als netwerkoperator en zodoende misleidende OMA CP-berichten naar gebruikers te sturen. Het misleidende bericht vraagt gebruikers om kwaadaardige instellingen te accepteren die bijvoorbeeld hun internetverkeer omleidt naar een proxyserver van de hacker.
Onderzoekers van Check Point hebben vastgesteld dat bepaalde Samsung-telefoons het meest kwetsbaar zijn voor deze vorm van phishing-aanvallen omdat ze geen authenticatiecontrole hebben op afzenders van OMA CP-berichten. Zodra een gebruiker de CP accepteert, wordt de malware geïnstalleerd zonder dat de afzender zijn identiteit hoeft te bewijzen.
Misleiding via sms
Huawei-, LG- en Sony-telefoons hebben wel een vorm van authenticatie, maar hackers hebben alleen het zogenaamde International Mobile Subscriber Identity-nummer (IMSI) van de ontvanger nodig om hun identiteit te 'bevestigen'. Hackers kunnen op verschillende manieren het IMSI-nummer van een slachtoffer achterhalen. Eén van de mogelijkheden is een malafide Android-app die het IMSI-nummer van een telefoon leest zodra de app is geïnstalleerd. De aanvaller kan de gebruiker ook gewoon een sms-bericht sturen waarin hij zich voordoet als de netwerkprovider. Het slachtoffer wordt dan gevraagd om een OMA CP-bericht, dat met een pincode is beschermd, te accepteren. Zodra het slachtoffer deze pincode ingeeft, kan de CP worden geïnstalleerd zonder IMSI.
De onderzoekers hebben hun bevindingen eerder dit jaar (maart 2019) aan de getroffen leveranciers bekendgemaakt. Samsung nam een bug fix voor deze phishing op in hun Security Maintenance Release van mei (SVE-2019-14073), LG bracht in juli een bug fix uit (LVE-SMP-190006), en Huawei is van plan om de UI-fixes voor OMA CP in de volgende generatie Mate-serie of P-serie smartphones op te nemen. Sony weigert volgens Check Point het beveiligingslek te erkennen door te verklaren dat hun smartphones de internationale OMA CP-specificatie volgen.
