Check Point 揭露駭客偽裝成電信業者傳送釣魚訊息,誘騙 Android 手機使用者接受惡意設置

「加三嘻行動哇 Yipee! 成為好友」

FacebookYoutubeTwitterInstagramTelegramLine

Check Point Research 表示,三星、華為、LG、Sony 及其他 Android 作業系統的手機存在安全性漏洞,導致使用者容易受到進階網路釣魚攻擊。

受影響的 Android 手機採用無線更新技術(over-the-air provisioning,OTA provisioning),這技術讓電信業者能將網路特定設置部署到新連接至網路的手機。

但 Check Point Research 發現,OTA 產業標準-開放行動聯盟用戶端配置(Open Mobile Alliance Client Provisioning,OMA CP)採用有限的身份驗證方法,遠端代理能利用這一點偽裝成電信業者,並向使用者發送假 OMA CP 訊息,以此誘騙使用者接受惡意設置,如透過駭客手中的代理伺服器傳輸網路流量。

研究人員指出,某些三星手機沒有對 OMA CP 訊息寄件者進行真實性檢查,因此最容易受到此形式的網路釣魚攻擊—只需要使用者接受 OMA CP,惡意軟體即可安裝,且無需寄件者證明其身份。

華為、LG 和 Sony 手機雖然設有一種身份驗證方式,但駭客只需收件人的 IMSI(International Mobile Subscriber Identity,國際移動用戶辨識碼)便可「確認」其身份。攻擊者能夠透過各種方式獲取受害者的識別碼,包括建立一個惡意 Android 應用程式,在安裝後讀取手機的識別碼。此外,攻擊者還可以偽裝成電信業者向使用者傳送簡訊,要求他們接受 PIN 碼保護的 OMA CP,繞過對 IMSI 的要求;如果使用者隨之輸入提供的 PIN 碼並接受此訊息,則無需識別碼即可安裝 OMA CP。

Check Point 研究人員 Slava Makkaveev 表示:「考量到 Android 裝置的普遍性,這是一個必須解決的嚴重漏洞。如果沒有更安全的身份驗證方式,惡意代理就能輕鬆透過無線裝置發起網路釣魚攻擊。當收到 OMA CP 訊息時,使用者無法分辨其是否來自可信任來源。在點擊『接受』後,手機很可能遭到攻擊者駭入。」

Check Point 在 3 月向受影響的廠商公佈研究結果。三星在 5 月安全維護版本(SVE-2019-14073)中提供了針對此網路釣魚攻擊的修復程式,LG 於 7 月發佈了修復程式(LVE-SMP-190006),華為計畫把 OMA CP 的 UI 修復程式納入新一代 Mate 系列或 P 系列智慧型手機中。Sony 拒絕承認該漏洞存在,表示公司的裝置遵循 OMA CP 規範。

延伸閱讀:

Android 使用者快刪!下載超過 1 億次的「CamScanner」暗藏惡意程式

UL 發出亞洲首張 Thread 認證,由三星 IoT 組件取得

研究人員製作假 Lightning 充電線,可輕鬆駭入電腦

小心!連接 WiFi 可能讓數位相機遭勒索和惡意軟體攻擊

注意!頭號惡意軟體 Emotet 消聲匿跡,可能攜新功能捲土重來

圖片及資料來源:Check Point Research

好友人數

大家對網站文章上的一個讚、+1及轉分享,都是對我們的最好的鼓勵及繼續下去的原動力,請大家不要吝嗇。

發表迴響

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料

下一頁

2019 戀戀臺北城 9/21 史蹟大會師齊聚 228 公園,原創主題曲清新登場

週四 9 月 12 , 2019
「加三嘻行動哇 Yipee! 成為好友」 【Facebook、Youtube、Twitter、Ins […]
Shares