IT News: Digital Camera, OS, Laptop, Smartphone, Smart TV, Sound...

The Author's Project by Valeri N.Kravchuk
Сайт проверен Dr.Web
Меню сайта
  • Главная страница
  • Информация о сайте
  • Дневник
  • Каталог файлов
  • Обратная связь
  • Каталог сайтов
  • FAQ
  • Доска объявлений
  • Форум
  • Фотоальбом
  • Категории раздела
    Автомобильные гаджеты, ремонт... [143]
    Безопасность IT [404]
    Блоки питания, Power Banks, зарядки... [508]
    Видеорегистраторы [186]
    Гаджеты для спорта и здоровья... [190]
    Гаджеты, аксессуары... [627]
    Измерительная техника, инструменты [433]
    Накопители данных [232]
    Нетбуки, Ноутбуки, Ультрабуки [689]
    Мультиварки, блендеры и не только... [162]
    Планшеты [764]
    Радар-детекторы [26]
    Роботы-пылесосы [37]
    Своими руками [360]
    Сети, сетевые технологии, оборудование... [273]
    Смартфоны [4958]
    Фотокамеры, объективы, искусство фотографии.. [541]
    Умный дом [50]
    Электронные книги [101]
    CB, LPD, PMR- связь... [170]
    DECT, IP-телефоны [18]
    Drones, boats, cars... [108]
    electric cars [35]
    GPS-навигаторы, трекеры... [51]
    Linux и не только [3979]
    mini computers и не только... [409]
    News IT, Это интересно, ликбез... [1118]
    Smart TV, UltraHD, приставки, проекторы... [415]
    Smart Watch [268]
    Sound: наушники, плееры, усилители... [618]
    Windows 10... [301]
    Windows 11 [37]
    Погода

  • Метеорадар БРЕСТ
  • Погода в Бресте от www.yr.no

    Яндекс.Погода БРЕСТ

  • Интересные ссылки

    COMPIZOMANIA

    Наш опрос
    Оцените мой сайт
    Всего ответов: 1347
    Статистика
    Анализ веб сайтов

    Яндекс.Метрика

    Рейтинг@Mail.ru Яндекс цитирования

    Russian America Top. Рейтинг ресурсов Русской Америки.

    eXTReMe Tracker

    Правильный CSS!


    Онлайн всего: 1
    Гостей: 1
    Пользователей: 0
    Locations of visitors to this page
    Форма входа
    Главная » 2019 » Октябрь » 22 » Уязвимости смартфонов
    06:40
    Уязвимости смартфонов

    Уязвимости смартфонов

    Привет, Хабр! Меня зовут Ярослав Сташевский, я менеджер по информационной безопасности «ИТ-ГРАД». Сегодня я хотел бы поднять тему, которая касается каждого, — уязвимости смартфонов. Люди привыкли доверять своим мобильным устройствам очень чувствительную информацию. Это касается и файлов, хранимых на устройстве, и того, что передается беспроводным путем. Согласитесь, вы сами вряд ли часто задумываетесь о том, что кто-то может целенаправленно навредить вашему смартфону или похитить данные. Создается ложное ощущение собственной безопасности, основанное как на доверии к технологиям, так и на убеждении “а кто меня будет ломать, кому я так сильно нужен?”.

    Этой небольшой заметкой я хочу напомнить всем, что способов атаковать мобильный телефон существует предостаточно и многие из них достаточно просты в реализации. В частности, мне хотелось бы проверить, насколько реально безопасной является двойная аутентификация (ввод пароля на сайте + код из SMS/звонка).

    Спойлер: взламывать я буду свой собственный смартфон.



    В первую очередь меня заинтересовали достаточно свежие атаки: так называемая SS7, simjacker, ее «брат» WIBAttack, а также варианты атак на телефоны конкретных вендоров (Huawei, Samsung и т.д.).

    Для общего развития пройдемся по упомянутым выше атакам и эксплуатируемым ими уязвимостям:
     
    • Атака на протокол SS7 (Сигнализационная система № 7)
      Позволяет перехватывать чужие звонки и SMS. Относительно недорогой для хакера и опасный для жертвы вид атаки. Подробнее о нем можно почитать здесь.
    • WIBAttack/SimJacker
      Обе атаки эксплуатируют схожую уязвимость SIM-карт и позволяют хакеру получить контроль над входящими/исходящими звонками и SMS жертвы. Для тех, кого интересуют подробности, оставлю ссылки: WIB и Simjacker.
    • Атаки, основанные на уязвимостях конкретных моделей
      Их суть, как и следует из названия, состоит в эксплуатации программных и/или аппаратных уязвимостей смартфонов.

    К сожалению, найти информацию по simjacker и WIB, достаточную для «домашней» реализации такой атаки, мне не удалось. Использование SS7 незаконно (требуется покупка доступа к системе, например, в даркнете), поэтому я остановился на «вендорском» варианте и решил атаковать свой собственный Huawei.

    Мой выбор пал на атаку, суть которой заключается в подготовке и отправке на телефон жертвы специального сервисного сообщения с вредоносной нагрузкой. Такие сообщения обычно отправляют операторы сотовой связи, например, для обновления ПО сим-карты, передачи настроек сети на телефон и отправки специальных всплывающих уведомлений пользователю (Flash SMS).

    Разумеется, сфабриковать такое сообщение с помощью штатных SMS-мессенджеров Android нельзя, и нам понадобится специальное ПО. Наиболее интересными мне показались следующие приложения:

    HushSMS — простое android-приложение, которое, тем не менее, обладает всем необходимым функционалом для атаки.

    image
    / Интерфейс HushSMS

    NowSMS — более продвинутая утилита. Она использует мобильный телефон в качестве модема и обладает впечатляющим функционалом формирования сервисных сообщений.









    Используя протокол OMA CP, я сформировал специальное сообщение, которое смогло обойти защиту моего Huawei и не было проверено. Путем проб и ошибок мне удалось подобрать оптимальный вариант аутентификации и добиться результата: с помощью «сервисного» сообщения я изменил настройки точки доступа своего телефона. Уязвимость подтверждена.

    В реальной жизни это означает, что потенциальный злоумышленник сможет, например, перенаправить трафик с моего устройства на подконтрольный прокси-сервер. Или изменить схожим образом другие настройки телефона и получить контроль над звонками и SMS. Как вы понимаете, в этой ситуации никакая двойная аутентификация меня не спасет.

    Ниже я приведу несколько скриншотов в качестве иллюстрации проведенной атаки.

    Обновление настроек:


     

    Результат:
     

    Тесты Flash SMS. Удивительно, но это можно использовать для сокрытия номера отправителя.
     
     

    Что же из этого следует?


    Все мы прекрасно знаем правила информационной безопасности и стараемся их соблюдать. Однако, когда речь заходит о наших мобильных устройствах, мы зачастую не замечаем или не понимаем опасность. Как вы видите, злоумышленник может с легкостью скомпрометировать ваше мобильное устройство и долгое время получать важную информацию о вас и о вашей компании.

    Будьте осторожны и бдительны.

     

    Категория: Безопасность IT | Просмотров: 342 | Добавил: laptop | Рейтинг: 0.0/0
    Всего комментариев: 0
    Добавлять комментарии могут только зарегистрированные пользователи.
    [ Регистрация | Вход ]
    Волк слабее льва и тигра, но в цирке волк не выступает!
    Волк слабее льва и тигра, но в цирке волк не выступает!
    Волк - единственный из зверей, который может пойти в бой на более сильного противника.
    Если же он проиграл бой, то до последнего вздоха смотрит в глаза противника. После этого умирает...

    Праздники сегодня

    Поиск
    Календарь
    «  Октябрь 2019  »
    ПнВтСрЧтПтСбВс
     123456
    78910111213
    14151617181920
    21222324252627
    28293031
    Архив записей
    Друзья сайта
  • Официальный блог
  • JEEP - the best! Mercedes - the best! Автомобильный портал города Бреста: технические характеристики с фото, авторынок, автоспорт...
    Наша кнопка
    IT новости с моего лаптопа...

    Внимание!
    Администратор сайта laptop.ucoz.ru не несет ответственности за содержание рекламных объявлений. Все используемые на сайте зарегистрированные товарные знаки принадлежат своим законным владельцам! Используемая со сторонних источников информация публикуется с обязательными ссылками на эти источники.
    Copyright Valeri N.Kravchuk © 2007-2024