WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Lỗ hổng trong điện thoại Samsung khiến người dùng Android bị tấn công từ xa
'Find My Mobile' - một ứng dụng Android được cài đặt sẵn trên hầu hết các điện thoại thông minh Samsung – tồn tại nhiều lỗ hổng nghiêm trọng có thể cho phép kẻ tấn công từ xa theo dõi vị trí theo thời gian thực của nạn nhân, giám sát các cuộc gọi điện thoại và tin nhắn, thậm chí xóa dữ liệu được lưu trữ trên điện thoại.
Nhà cung cấp dịch vụ an ninh mạng Char49 tại Bồ Đào Nha đã công bố phát hiện lỗ hổng trên ứng dụng Find My Mobile của Samsung tại hội nghị bảo mật DEF CON vào tuần trước.
Theo chuyên gia Pedro Umbelino của Char49, lỗ hổng này có thể dễ dàng bị khai thác và tác động lớn đến người dùng, với nhiều nguy cơ cực kỳ nghiêm trọng khóa vĩnh viễn điện thoại, mất dữ liệu hoàn toàn khi khôi phục cài đặt gốc (bao gồm thẻ SD), ảnh hưởng nghiêm trọng đến quyền riêng tư qua theo dõi IMEI và vị trí, cũng như truy cập nhật ký cuộc gọi và SMS của nạn nhân.
Các lỗ hổng tồn tại trên các thiết bị Samsung Galaxy S7, S8 và S9 + chưa được vá lỗi, đã được Samsung cập nhật bản vá.
Dịch vụ Find My Mobile của hãng Samsung cho phép chủ sở hữu thiết bị định vị hoặc khóa điện thoại thông minh hoặc máy tính bảng từ xa, sao lưu dữ liệu được lưu trữ trên thiết bị vào Samsung Cloud, xóa dữ liệu cục bộ và chặn quyền truy cập vào Samsung Pay.
Theo công ty Char49, bốn lỗ hổng trong ứng dụng này có thể đã bị khai thác bởi một ứng dụng độc hại được cài đặt trên thiết bị mục tiêu, từ đó tạo ra một cuộc tấn công man-in-the-disk để đánh cắp thông tin liên lạc từ các máy chủ backend và theo dõi nạn nhân.
Lỗ hổng bắt nguồn từ việc ứng dụng kiểm tra sự tồn tại của một file cụ thể trên thẻ SD của thiết bị ("/mnt/sdcard/fmm.prop") để tải URL ("mg.URL"), cho phép một ứng dụng giả mạo tạo file này để mở đường cho hacker đánh cắp thông tin liên lạc với máy chủ.
"Khi trỏ URL MG đến máy chủ do kẻ tấn công kiểm soát, kẻ tấn công có thể lấy được nhiều thông tin chi tiết về người dùng như vị trí thông qua địa chỉ IP, IMEI, thương hiệu thiết bị, cấp độ API, ứng dụng sao lưu và một số thông tin khác”, chuyên gia Pedro Umbelino cho biết.
Để đạt được điều này, một ứng dụng độc hại được cài đặt trên thiết bị sử dụng chuỗi khai thác có hai bộ thu phát sóng không được bảo vệ để chuyển hướng các lệnh được gửi đến máy chủ của Samsung từ ứng dụng Find My Mobile đến một máy chủ khác nằm dưới sự kiểm soát của kẻ tấn công.
Máy chủ do hacker điều khiển cũng chuyển tiếp truy vấn đến máy chủ hợp pháp và thu thập phản hồi, nhưng không phải trước khi chèn các lệnh đó vào các phản hồi của máy chủ.
Tấn công thành công có thể cho phép tin tặc theo dõi vị trí của thiết bị, lấy dữ liệu cuộc gọi và tin nhắn văn bản, khóa điện thoại để đòi tiền chuộc và xóa tất cả dữ liệu thông qua khôi phục cài đặt gốc.
Theo chuyên gia Pedro Umbelino của Char49, lỗ hổng này có thể dễ dàng bị khai thác và tác động lớn đến người dùng, với nhiều nguy cơ cực kỳ nghiêm trọng khóa vĩnh viễn điện thoại, mất dữ liệu hoàn toàn khi khôi phục cài đặt gốc (bao gồm thẻ SD), ảnh hưởng nghiêm trọng đến quyền riêng tư qua theo dõi IMEI và vị trí, cũng như truy cập nhật ký cuộc gọi và SMS của nạn nhân.
Các lỗ hổng tồn tại trên các thiết bị Samsung Galaxy S7, S8 và S9 + chưa được vá lỗi, đã được Samsung cập nhật bản vá.
Dịch vụ Find My Mobile của hãng Samsung cho phép chủ sở hữu thiết bị định vị hoặc khóa điện thoại thông minh hoặc máy tính bảng từ xa, sao lưu dữ liệu được lưu trữ trên thiết bị vào Samsung Cloud, xóa dữ liệu cục bộ và chặn quyền truy cập vào Samsung Pay.
Theo công ty Char49, bốn lỗ hổng trong ứng dụng này có thể đã bị khai thác bởi một ứng dụng độc hại được cài đặt trên thiết bị mục tiêu, từ đó tạo ra một cuộc tấn công man-in-the-disk để đánh cắp thông tin liên lạc từ các máy chủ backend và theo dõi nạn nhân.
Lỗ hổng bắt nguồn từ việc ứng dụng kiểm tra sự tồn tại của một file cụ thể trên thẻ SD của thiết bị ("/mnt/sdcard/fmm.prop") để tải URL ("mg.URL"), cho phép một ứng dụng giả mạo tạo file này để mở đường cho hacker đánh cắp thông tin liên lạc với máy chủ.
"Khi trỏ URL MG đến máy chủ do kẻ tấn công kiểm soát, kẻ tấn công có thể lấy được nhiều thông tin chi tiết về người dùng như vị trí thông qua địa chỉ IP, IMEI, thương hiệu thiết bị, cấp độ API, ứng dụng sao lưu và một số thông tin khác”, chuyên gia Pedro Umbelino cho biết.
Để đạt được điều này, một ứng dụng độc hại được cài đặt trên thiết bị sử dụng chuỗi khai thác có hai bộ thu phát sóng không được bảo vệ để chuyển hướng các lệnh được gửi đến máy chủ của Samsung từ ứng dụng Find My Mobile đến một máy chủ khác nằm dưới sự kiểm soát của kẻ tấn công.
Máy chủ do hacker điều khiển cũng chuyển tiếp truy vấn đến máy chủ hợp pháp và thu thập phản hồi, nhưng không phải trước khi chèn các lệnh đó vào các phản hồi của máy chủ.
Tấn công thành công có thể cho phép tin tặc theo dõi vị trí của thiết bị, lấy dữ liệu cuộc gọi và tin nhắn văn bản, khóa điện thoại để đòi tiền chuộc và xóa tất cả dữ liệu thông qua khôi phục cài đặt gốc.
Theo The Hacker News