Недостаток безопасности в Samsung, LG, Sony, Huawei и других Android smartphones Обнаружено, что это делает пользователей уязвимыми для продвинутых фишинговых SMS-атак, сообщает Check Point Research – подразделение по анализу угроз, принадлежащее компании по кибербезопасности Check Point Software Technologies Ltd.
Исследователи из компании по кибербезопасности заявили, что некоторые телефоны Samsung наиболее уязвимы для этой формы фишинг-атаки, поскольку у них нет проверки подлинности для отправителей сообщений Open Mobile Alliance Client Provisioning (OMA CP).
«Учитывая популярность устройств Android, это критическая уязвимость, которую необходимо устранить. Без более строгой формы аутентификации злонамеренный агент может легко начать фишинговую атаку с помощью беспроводной связи (OTA).
«Когда пользователь получает сообщение OMA CP, у него нет возможности определить, получено ли оно из доверенного источника. Нажав« принять », он вполне может позволить злоумышленнику войти в свой телефон», – Слава Маккавеев, исследователь безопасности, проверка Point Software Technologies, говорится в сообщении.
Уязвимые телефоны Android используют OTA-инициализацию, благодаря которой операторы сотовой сети могут развертывать сетевые параметры на новом телефоне, присоединяющемся к их сети.
Однако исследователи из Check Point обнаружили, что отраслевой стандарт для обеспечения OTA – OMA CP, включает в себя ограниченные методы аутентификации, и удаленные агенты могут использовать это, чтобы выдавать себя за сетевых операторов и отправлять обманчивые сообщения OMA CP пользователям.
Сообщение обманом заставляет пользователей принимать вредоносные настройки, которые направляют их интернет-трафик через прокси-сервер, принадлежащий хакеру.
Результаты были раскрыты пострадавшим поставщикам в марте; Samsung включила исправление, устраняющее эту фишинговую уязвимость, в свой релиз по обеспечению безопасности за май (SVE-2019-14073), LG выпустила исправление в июле (LVE-SMP-190006), а Huawei планирует включить исправления пользовательского интерфейса для OMA CP в Следующее поколение серии Mate или серии P smartphones,
Однако Sony отказалась признать уязвимость, заявив, что их устройства соответствуют спецификации OMA CP.