Устаревшая технология SIM-карт угрожает миллиарду абонентов

Неизвестная группировка вместе с правительственными организациями более двух лет следит за клиентами сотовых операторов.

Исследователи обнаружили шпионскую кампанию, эксплуатирующую прошивку SIM-карт. Злоумышленники использовали скрытые системные приложения, чтобы отслеживать перемещения своих целей во множестве стран по всему миру.

Вредоносная технология получила название Simjacker; аналитики полагают, что за ней стоит профессиональная кибергруппировка, которая начала кампанию как минимум два года назад. Этот метод гораздо сложнее известных ранее способов слежки за сотовыми абонентами, но при этом требует практически нулевых инвестиций в инфраструктуру — все операции идут через простой GSM-модем стоимостью $10.

Что такое Simjacker

Метод использует возможности служебной программы S@T Browser, которая поддерживает рабочие сервисы SIM-карт (например, запрос баланса или трансляцию сообщений от сотового провайдера). Это приложение считается устаревшим — в последний раз его обновляли в 2009 году. Тем не менее, оно все еще установлено на значительной части устройств.

Чтобы наладить слежку за абонентом, преступники отправляют на его аппарат специальное СМС, адресованное напрямую S@T Browser. В нем закодированы команды приложению, которые позволяют скрытно выполнять различные операции с пользовательским устройством. Обмен данными происходит без ведома владельца — полученные и отправленные сообщения не появляются в меню телефона.

В ходе обнаруженных атак злоумышленников интересовало географическое расположение и IMEI-номера целевых устройств. Исследователи определили, что таким образом можно заставить телефон совершить звонок, отправить СМС или открыть канал для передачи данных. В результате Simjacker предоставляет набор вредоносных возможностей, включая подписку на платные услуги, отправку СМС и ММС от лица жертвы, загрузку вредоносного ПО через браузер телефона.

Масштаб угрозы

По словам экспертов, уязвимую технологию применяют сотовые операторы в 30 странах, которые суммарно обслуживают миллиард абонентов. Обнаруженные атаки были направлены на владельцев телефонов Apple, Motorola, Samsung, Google и других крупных производителей. Технику можно также использовать для атак на IoT-устройства с SIM-картами.

Исследователи не раскрывают свои предположения относительно организаторов кампании, уточняя только, что это частная организация, которая работает с правительственными структурами. Помимо Simjacker, злоумышленники использовали уже известные эксплойты на базе протоколов SS7 и Diameter.

Злоумышленники ежедневно следили за сотнями пользователей. Некоторые жертвы вызывали у них особый интерес — преступники отправляли на их устройства по несколько сотен запросов в неделю. В других случаях эта цифра не превышала нескольких обращений в месяц. Такой характер слежки позволяет предположить, что атаки таргетированы, а организаторы подбирают метод в соответствии с конкретной целью.

Как защититься от Simjacker

Провайдеры могут защитить своих абонентов, блокируя сообщения с командами для S@T Browser. Кроме того, они могут удаленно перепрограммировать SIM-карты или вовсе удалить с них уязвимое приложение. В то же время исследователи называют эти меры временными, а реальную безопасность обеспечит только новый подход к защите.

«Мобильные операторы должны понять, что существующих рекомендаций недостаточно для защиты пользователей, поскольку злоумышленники постоянно пытаются обойти эти препятствия, — поясняют эксперты. — Провайдеры должны постоянно следить за подозрительной активностью [в своих сетях], чтобы находить скрытые угрозы. Преступники уже не просто атакуют незащищенные сети — их кампании построены на целом комплексе протоколов, программных сред и технологий. Чтобы блокировать эти действия, операторам также нужно расширить свои способности и увеличить инвестиции [в информационную безопасность]».

Ранее специалисты обнаружили возможность скрытно менять сетевые настройки Android-устройств нескольких мировых производителей. Метод позволяет злоумышленникам подменить сервер для передачи информации на собственный и получить таким образом доступ к электронной почте, контактам и сообщениям жертвы.

Эксперты также предупреждали, что сотовые провайдеры зарабатывают на геолокационных данных абонентов, продавая их сторонним компаниям. В ходе эксперимента журналисты смогли определить местоположение целевого устройства с точностью до 500 метров, заплатив около $300.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 9

Новые материалы в Остальное:

Тулкит Eternity: инфостилер, червь, шифровальщик с автосборкой в Telegram   // 17 мая

Все фреймворки для APT-атак на изолированные сети АСУ ТП используют USB   // 03 декабря

V-Key: Большинство мобильных приложений для аутентификации можно взломать   // 11 октября

Вымогатель Epsilon Red проникает в сеть через дыры в Microsoft Exchange   // 31 мая