La vulnerabilità SimJacker delle SIM non risparmia nessuno: basta un SMS per colpire qualsiasi smartphone di qualsiasi produttore

I ricercatori di Adaptive Mobile Security hanno scoperto una vulnerabilità finora sconosciuta delle schede SIM che potrebbe consentire ai cracker di compromettere i telefoni cellulari e spiare le vittime semplicemente inviando un SMS. La vulnerabilità si chiama “SimJacker” e potrebbe essere stata sfruttata per anni.

La vulnerabilità SimJacker risiede in un particolare software, chiamato [email protected] Browser (SIMalliance Toolbox Browser) incorporato nella maggior parte delle schede SIM utilizzate dagli operatori mobili in almeno trenta Paesi. Una vulnerabilità che può essere sfruttata indipendentemente dal tipo di cellulare usato dalle vittime: la colpa è della SIM.

[email protected] Browser permette agli operatori telefonici di fornire varie tipologie di servizi agli utenti, quali ad esempio l’attivazione di abbonamenti e la visualizzazione di informazioni relative alla SIM stessa nei sotto menu dello smartphone. Grazie a [email protected] Browser è anche possibile compiere una serie di altre operazioni quali l’invio di messaggi brevi, configurazione delle chiamate, persino l’avvio di un browser e l’invio di dati. Sarebbe sufficiente inviare un SMS ad una determinata SIM per far sì che un eventuale hacker attivi codice malevolo sullo smartphone. E a quanto pare basta un semplice modem GSM del costo di pochi euro per inviare l’SMS che faccia da tramite.

Quali informazioni si potrebbero reperire tramite la vulnerabilità in questione? Posizione del dispositivo e IMEI, ma non finisce qui. Si potrebbe inviare messaggi falsi a nome dell’utente colpito, comporre numeri a tariffa maggiorata in modo da attivare servizi a pagamento; far aprire pagine web malevole dal broswer dello smartphone e di conseguenza anche scaricare malware; disabilitare la SIM e tanto altro. Tutto ciò sarebbe completamente invisibile alla vittima. Da quanto riportato da Adaptive Mobile Security ci sarebbe un’azienda privata che negli ultimi due anni avrebbe lavorato con vari governi per sfruttare la vulnerabilità SimJacker per la sorveglianza mirata di utenti di varie nazioni. Non solo, sarebbero stati osservati attacchi concreti a danno di dispositivi di produttori quali Apple, Huawei, Google, Samsung, ZTE, Motorola e persino dispositivi IoT provvisti di schede SIM.

Inviando specifici SMS indirizzati a questo piccolo software è possibile eseguire una lunga lista di azioni sul telefono del malcapitato:

  • Mandare messaggi col numero di telefono della vittima.
  • Eseguire servizi a tariffa maggiorata.
  • Eseguire chiamate: in questo modo l’aggressore può auto-telefonarsi e rispondere così da ascoltare tutto ciò che accade attorno al telefono bersaglio.
  • Aprire pagine web dannose sullo smartphone e conseguentemente permettere l’installazione di malware.
  • Disabilitare la scheda SIM.
  • Recuperare informazioni quali IMEI, ubicazione e moltissimi dettagli su hardware e software del dispositivo bersaglio.

I dati relativi alla vulnerabilità saranno pubblicati ad ottobre ma ovviamente i ricercatori hanno già comunicato tutti i dettagli alla GSM Association e alla SIM Alliance. Quest’ultima ha riconosciuto il problema, fornendo varie raccomandazioni ai produttori di SIM. La soluzione sarebbe quella di implementare un sistema di sicurezza per la gestione dei messaggi [email protected] Push. Gli operatori telefonici potranno intervenire realizzando un apposito processo che analizzi e blocchi eventuali messaggi che contengano codice [email protected] Browser non autorizzato.

 

Fonte: Adaptivemobile.com

© RIPRODUZIONE ANCHE PARZIALE RISERVATA - SkyLeaks.it | Do not miss any TechNews - Ti invitiamo a usare i bottoni di condivisione e a non copiare l'articolo.