DEF CON jak zawsze przyniósł szereg interesujących informacji. Badacz portugalskiego dostawcy usług cyberbezpieczeństwa Char49 pokazał luki w zabezpieczeniach mających wpływ na usługę „Find My Mobile” Samsunga.
Aplikacja została zaprojektowana, aby pomóc użytkownikom znaleźć zgubione telefony Samsung. Może być również używana do zdalnego blokowania urządzenia, blokowania dostępu do Samsung Pay i całkowitego wyczyszczenia telefonu, jeśli „wpadnie w niepowołane ręce”.
Według Char49 w komponentach „Find My Mobile” były łącznie cztery luki w zabezpieczeniach, które mogły zostać wykorzystane przez złośliwą aplikację zainstalowaną na zaatakowanym urządzeniu.
Pedro Umbelino, badacz Char49, który znalazł błędy, powiedział SecurityWeek, że złośliwa aplikacja będzie wymagać dostępu do karty SD urządzenia tylko w celu wykorzystania pierwszej luki w łańcuchu ataku (Kill Chain) i stworzenia pliku, który pozwoli atakującemu przechwycić komunikację z serwerami „backendowymi”.
Pomyślne wykorzystanie luk umożliwiłoby złośliwej aplikacji wykonanie dowolnego działania, które może wykonać aplikacja Find My Mobile, w tym wymuszenie przywrócenia ustawień fabrycznych, wyczyszczenie danych, śledzenie lokalizacji urządzenia w czasie rzeczywistym, pobieranie połączeń telefonicznych i wiadomości oraz blokowanie i odblokowanie telefonu.
Exploit został pomyślnie odtworzony na urządzeniach Samsung Galaxy S7, S8 i S9 +, zanim producent opublikował poprawkę.
Char49 powiedział SecurityWeek, że luki zostały znalezione ponad rok temu, ale Samsung załatał je dopiero pod koniec października 2019 r., czyli firma czekała ponad 9 miesięcy zanim upubliczniła szczegóły.
„Ta wada, po konfiguracji, może być łatwo wykorzystana i może mieć poważne konsekwencje dla użytkownika i potencjalnie katastrofalne skutki: permanentna odmowa usługi przez blokadę telefonu, całkowita utrata danych z przywróceniem ustawień fabrycznych (w tym karty SD), poważne konsekwencje dla prywatności za pośrednictwem IMEI i śledzenie lokalizacji oraz dostęp do dziennika połączeń i SMS-ów” – wyjaśniła firma w raporcie technicznym opisującym każdą z luk.
Dodał: „Aplikacja „Find My Mobile” nie powinna mieć żadnych publicznie dostępnych komponentów w stanie wyeksportowanym. Jeśli jest to absolutnie konieczne, na przykład, jeśli inne pakiety wywołują te komponenty, to powinny być chronione odpowiednimi uprawnieniami. Należy wyeliminować testowanie kodu, który opiera się na istnieniu plików w miejscach publicznych”.
Wybrany post: Uwaga – luki w Samsungu!
