Эксперты Check Point Research выявили уязвимость в смартфонах производителей Samsung, Huawei, LG, Sony и других устройствах на базе Android. Найденная уязвимость делает пользователей беззащитными перед продвинутыми фишинговыми атаками.
Нужно всего одно SMS-сообщение, чтобы получить полный доступ к электронной почте жертвы. Получатель SMS-сообщения не может проверить, приходят ли настройки от его сотового оператора или от мошенников. Самое опасное, что любой может купить USB-ключ за 10 долларов и провести масштабную фишинговую атаку: для нее не требуется специальное оборудование.
Любой, кто подключен к сотовой сети, может стать жертвой подобных фишинговых атак — не нужно даже подключаться к сети Wi-Fi, чтобы злоумышленники смогли получить личные данные, например, из электронной почты.
Смартфоны на базе Android, подверженные уязвимости, используют OTA — обновления, которые попадают на устройство в буквальном смысле «по воздуху», то есть не через кабель, а через Wi-Fi или 3G/4G. Благодаря им операторы сотовой сети могут передавать нужные параметры на новые смартфоны, присоединяющиеся к их сети.
Специалисты Check Point Research обнаружили, что принятый отраслевой стандарт для обеспечения OTA включает ограниченные методы аутентификации. Злоумышленники могут удаленно использовать уязвимость, чтобы выдавать себя за операторов связи и отправлять фальшивые сообщения пользователям. Сообщение обманом заставляет пользователей принимать вредоносные настройки, которые, например, могут перенаправлять их интернет-трафик через прокси-сервер, принадлежащий хакеру.
Любой телефон в мире на платформе Android может стать жертвой вредоносного SMS-сообщения и потерять данные своей электронной почты. Samsung, Huawei, LG и Sony производят более 50% всех телефонов Android. По оценкам аналитиков, во всем мире ежемесячно 2,5 миллиарда человек пользуются этими смартфонами. Общая доля Android на рынке мобильных операционных систем в мире составляет 76,08%.
Исследователи определили, что некоторые телефоны Samsung наиболее уязвимы для этой формы фишинг-атаки, поскольку они не имеют проверки подлинности для отправителей сообщений OMA CP. Пользователь должен только принять OMA CP, и вредоносное программное обеспечение будет установлено автоматически.
«Учитывая популярность устройств Android, найденная уязвимость является критической, и ее необходимо срочно устранить, — говорит Василий Дягилев, глава представительства Check Point Software Technologies в России и СНГ. — Сейчас злоумышленник легко может начать фишинговую атаку с помощью беспроводной связи. Когда пользователь получает сообщение по протоколу OMA CP, он не может определить, поступило ли оно из доверенного источника или нет. Нажав кнопку «принять», он вполне может позволить злоумышленнику проникнуть в свой телефон».
Исследователи сообщили производителям о своем открытии в марте. Компания Samsung включила исправление, направленное на устранение этого фишингового потока, в свою версию для обеспечения безопасности в мае (SVE-2019-14073).
Компания LG выпустила исправление в июле (LVE-SMP-190006), а Huawei планирует включить исправления пользовательского интерфейса для OMA CP в следующее поколение смартфонов серии Mate или P.
Корпорация Sony отказалась признать уязвимость, заявив, что их устройства соответствуют спецификации OMA CP.
