Samsung Android laisse également les cartes SIM vulnérables

Une variante de l'attaque récemment divulguée qui peut effacer les données des appareils Android de Samsung lors de la visite d'une page Web malveillante peut également être utilisée pour désactiver les cartes SIM.

Ravishankar Borgaonkar, assistant de recherche au département de sécurité des télécommunications de l'Université technique de Berlin, a récemment démontré l'attaque par effacement de données à distance à la conférence de sécurité d'Ekoparty à Buenos Aires, en Argentine.

L'attaque peut être lancée à partir d'une page Web en chargeant un "tel:" URI (identificateur de ressource uniforme) avec un code spécial de réinitialisation d'usine à l'intérieur d'un iframe. Si la page est visitée à partir d'un périphérique vulnérable, l'application de numérotation exécute automatiquement le code et effectue une réinitialisation d'usine

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Plusieurs appareils Samsung Android, y compris Samsung Galaxy Le S III, le Galaxy S II, le Galaxy Beam, le S Advance et le Galaxy Ace étaient vulnérables car ils supportaient le code de réinitialisation d'usine spécial.

Borgaonkar a montré qu'un appareil pouvait être forcé d'ouvrir automatiquement un lien vers une telle page en touchant un téléphone compatible NFC à une étiquette NFC frauduleuse, en scannant un code QR ou en incluant le lien dans un message de service spécial. Cependant, un attaquant peut également inclure le lien dans un fil Twitter, un SMS ou un e-mail et inciter la victime à cliquer dessus manuellement.

La vulnérabilité exploitée par cette attaque se trouvait dans le numéroteur d'actions Android et a été adressée il ya trois mois. Les commentaires du correctif du référentiel source Android suggèrent que le numéroteur a été modifié pour ne plus exécuter les codes spéciaux transmis via les URI "tel:".

Les utilisateurs mobiles peuvent exécuter des commandes spéciales sur leur téléphone en tapant certains codes via la numérotation du téléphone. interface

Ces codes sont entourés des caractères * et # et sont appelés codes USSD (Unstructured Supplementary Service Data) lorsqu'ils accèdent aux services fournis par l'opérateur mobile ou aux codes MMI (Interface Homme-Machine) lorsqu'ils accèdent fonctions du téléphone.

Tous les appareils ne prennent pas en charge les mêmes codes, mais certains sont plus ou moins standard. Par exemple, * # 06 # est un code presque universel pour afficher le numéro IMEI (International Mobile Equipment Identity) d'un appareil Android.

Certains appareils d'autres fabricants que Samsung peuvent également être vulnérables à l'attaque de réinitialisation d'usine. Une simple recherche Google a renvoyé un code de réinitialisation d'usine pour le populaire téléphone HTC Desire

L'attaque peut également détruire les cartes SIM

Outre les codes de réinitialisation d'usine, certains autres codes peuvent également être dangereux. Au cours de sa présentation, Borgaonkar a mentionné que la même attaque peut être utilisée pour "tuer" les cartes SIM.

Ceci est possible grâce au code MMI qui permet de changer le numéro PIN (Personal Identity Number) d'une carte SIM en utilisant le PUK (Personal Unblocking Key), Collin Mulliner, un chercheur en sécurité mobile qui travaille dans le SECLAB à la Northeastern University de Boston, a déclaré mardi par e-mail.

Si ce code est exécuté plusieurs fois avec le mauvais PUK, la carte SIM est verrouillée en permanence.

Au lieu d'utiliser un URI "tel:" avec le code de réinitialisation d'usine dans un iframe, un attaquant pourrait avoir dix iframes avec le code changeant PIN et le mauvais PUK. Sur la page Web malveillante.

Contrairement au code de réinitialisation d'usine qui est pris en charge uniquement par certains appareils de certains fabricants, la plupart des téléphones Android doivent prendre en charge le code de changement de code PIN car il est standardisé. "Le problème de la carte SIM est plus problématique à mon avis."

Samsung a déjà résolu le problème d'exécution du code USSD / MMI pour les appareils Galaxy S III. "Nous tenons à assurer aux clients que le récent problème de sécurité affectant le Galaxy S III a déjà été traité dans une mise à jour logicielle", a déclaré Samsung dans un communiqué par e-mail. "Nous pensons que ce problème a été isolé sur les premiers appareils de production, et les appareils actuellement disponibles ne sont pas concernés par ce problème.Pour garantir la protection complète des clients, Samsung conseille de vérifier les mises à jour logicielles via le menu" Paramètres: A propos du périphérique: Mise à jour logicielle ". sont en train d'évaluer d'autres modèles Galaxy. "

Cependant, il est peu probable que tous les périphériques vulnérables à l'attaque par verrouillage de la carte SIM reçoivent des mises à jour du microprogramme de leurs fabricants. C'est un fait connu que la plupart des constructeurs tardent à publier des mises à jour de firmware et que beaucoup de modèles ne sont même plus supportés, ils resteront donc vulnérables.

Pour cette raison, Mulliner a créé une application appelée TelStop qui bloque l'attaque "tel:" Gestionnaire d'URI.

Lorsque TelStop est installé et que le téléphone rencontre un URI "tel:", une boîte de dialogue s'affiche pour choisir entre TelStop et le numéroteur normal. Si TelStop est choisi, l'application révélera le contenu de l'URI "tel:" et affichera un avertissement si le contenu est susceptible d'être malveillant.