Check Point Research revela falha de segurança que deixa smartphones Android vulneráveis a ataques de phishing por SMS
Vulnerabilidade impacta telefones Samsung, Huawei, LG e Sony
A Check Point Research, a divisão de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor global líder em soluções de cibersegurança, acaba de revelar uma falha de segurança nos telefones com sistemas operacionais Android da Samsung, Huawei, LG e Sony, que deixa os utilizadores vulneráveis a ataques de phishing.
Os telefones Android afetados utilizam o provisionamento over-the-air (OTA), pelo qual cada operadora de redes móveis pode disponibilizar funcionalidades de rede específicas a um novo telefone que adira às suas redes. No entanto, a Check Point Research descobriu que o padrão de mercado para o provisionamento OTA, o Open Mobile Alliance Client Provisioning (OMA CP), inclui métodos de autenticação limitados. Agentes remotos podem explorar esta fraqueza para se passarem por operadoras de rede e enviar mensagens OMA CP falsas para os utilizadores. A mensagem engana os utilizadores ao aceitarem configurações maliciosas que podem, por exemplo, direcionar o seu tráfego de internet através de um servidor de proxy controlado pelo atacante.
Os investigadores determinaram que certos telefones Samsung são mais vulneráveis a este tipo de ataque de phishing por não terem um processo de certificação de envio para emissores de mensagens OMA CP. O utilizador só precisa de aceitar o CP e o software malicioso será instalado de imediato sem que o emissor necessite de provar a sua identidade.
Os telefones Huawei, LG e Sony têm uma forma de autenticação, mas os hackers precisam apenas da IMSI (International Mobile Subscriber Identity) do destinatário para "confirmar" sua identidade. Os invasores podem obter o IMSI de uma vítima de várias maneiras, incluindo a criação de um aplicativo Android não autorizado que lê o IMSI de um telefone após a instalação. O invasor também pode ignorar a necessidade de um IMSI enviando ao usuário uma mensagem de texto se passando por operadora de rede e pedindo que ele aceite uma mensagem OMA CP protegida por pinos. Se o usuário digitar o número PIN fornecido e aceitar a mensagem CP do OMA, o CP poderá ser instalado sem um IMSI.
"Dada a popularidade dos dispositivos Android, é uma vulnerabilidade crítica que deve ser tratada", disse Slava Makkaveev, pesquisador de segurança da Check Point Software Technologies. “Sem uma forma mais forte de autenticação, é fácil para um agente mal-intencionado iniciar um ataque de phishing por meio de provisionamento aéreo. Quando o usuário recebe uma mensagem de CP do OMA, ele não tem como discernir se é de uma fonte confiável. Ao clicar em "aceitar", é possível que eles deixem um invasor entrar no telefone".
Os pesquisadores divulgaram suas descobertas aos fornecedores afetados em março. A Samsung incluiu uma correção referente a esse fluxo de phishing na versão Security Maintenance Release de maio (SVE-2019-14073), a LG lançou a correção em julho (LVE-SMP-190006) e a Huawei planeja incluir correções de interface do usuário para o OMA CP no próxima geração de smartphones da série Mate ou da série P. A Sony se recusou a reconhecer a vulnerabilidade, afirmando que seus dispositivos seguem a especificação OMA CP.
O Check Point SandBlast Mobile previne ataquesde phishing e de Man-in-the-Middle, para ajudar a proteger os dispositivos contra mensagens OMA CP maliciosas. Para saber mais sobre este tema, visite o site.
Para mais detalhes sobre esta pesquisa, visite o nosso blog.
Sobre a Check Point Software Technologies Ltd.
A Check Point Software Technologies Ltd. (www.checkpoint.com) é um fornecedor líder em soluções de cibersegurança para governos e empresas a nível mundial. As suas soluções protegem os seus clientes dos ciberataques de 5ª geração com um índice de captura de malware, ransomware e outros tipos de ataques líderes no mercado. A Check Point oferece uma arquitetura de segurança multinível com a nossa nova proteção contra ameaças Gen V que protege todas as operações das empresas em cloud, redes e mobile contra todos os ataques conhecidos combinando com o sistema de gestão de segurança mais completo e intuitivo. A Check Point Software protege mais de 100.000 empresas de todos os portes.
©2019 Check Point Software Technologies Ltd. Todos os direitos reservados.
Acompanhe o Check Point Research via:
Blog: https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_
Siga a Check Point Security nas redes sociais:
Check Point Blog:https://blog.checkpoint.com/
Twitter:http://www.twitter.com/checkpointsw
Facebook:http://www.facebook.com/checkpointsoftware
YouTube:http://www.youtube.com/user/CPGlobal
LinkedIn:https://www.linkedin.com/company/check-point-software-technologies
Compartilhe:: Participe do GRUPO SEGS - PORTAL NACIONAL no FACEBOOK...:
https://www.facebook.com/groups/portalnacional/
<::::::::::::::::::::>
IMPORTANTE.: Voce pode replicar este artigo. desde que respeite a Autoria integralmente e a Fonte... www.segs.com.br
<::::::::::::::::::::>
No Segs, sempre todos tem seu direito de resposta, basta nos contatar e sera atendido. - Importante sobre Autoria ou Fonte..: - O Segs atua como intermediario na divulgacao de resumos de noticias (Clipping), atraves de materias, artigos, entrevistas e opinioes. - O conteudo aqui divulgado de forma gratuita, decorrem de informacoes advindas das fontes mencionadas, jamais cabera a responsabilidade pelo seu conteudo ao Segs, tudo que e divulgado e de exclusiva responsabilidade do autor e ou da fonte redatora. - "Acredito que a palavra existe para ser usada em favor do bem. E a inteligencia para nos permitir interpretar os fatos, sem paixao". (Autoria de Lucio Araujo da Cunha) - O Segs, jamais assumira responsabilidade pelo teor, exatidao ou veracidade do conteudo do material divulgado. pois trata-se de uma opiniao exclusiva do autor ou fonte mencionada. - Em caso de controversia, as partes elegem o Foro da Comarca de Santos-SP-Brasil, local oficial da empresa proprietaria do Segs e desde ja renunciam expressamente qualquer outro Foro, por mais privilegiado que seja. O Segs trata-se de uma Ferramenta automatizada e controlada por IP. - "Leia e use esta ferramenta, somente se concordar com todos os TERMOS E CONDICOES DE USO".
<::::::::::::::::::::>