Cada vez que inserta una nueva SIM en su teléfono y se conecta a su red celular por primera vez, su servicio de operador configura automáticamente o le envía un mensaje que contiene la configuración específica de la red requerida para conectarse a los servicios de datos.
Al instalarlo manualmente en su dispositivo, ¿alguna vez ha notado qué configuraciones incluyen estos mensajes, técnicamente conocidos como mensajes OMA CP?
Bueno, créanme, la mayoría de los usuarios nunca se molestan si sus servicios de Internet móvil funcionan sin problemas.
Pero debe preocuparse por estas configuraciones, ya que la instalación de configuraciones no confiables puede poner en riesgo la privacidad de sus datos, permitiendo que los atacantes remotos espíen sus comunicaciones de datos, dijo un equipo de investigadores de ciberseguridad a The Hacker News.
Los operadores de telefonía móvil envían mensajes OMA CP (Open Mobile Alliance Client Provisioning) que contienen configuraciones APN y otras configuraciones de dispositivos que su teléfono necesita para establecer una conexión a la puerta de enlace entre la red móvil de su operador y los servicios públicos de Internet.
Para la configuración APN, la configuración incluye un campo opcional para configurar el proxy HTTP que puede enrutar su tráfico web a través de él, pero muchos operadores utilizan servidores proxy transparentes que ni siquiera requieren que se configure este campo.
Además de la configuración de proxy, los mensajes de aprovisionamiento de OMA CP también pueden incluir configuraciones para cambiar las siguientes configuraciones en el teléfono por aire (OTA):
- Servidor de mensajes MMS,
- Dirección proxy,
- Página de inicio del navegador y marcadores,
- Servidor de correo,
- Servidores de directorio para sincronizar contactos y calendario, y más.
Según un nuevo informe, Check Point compartido con The Hacker News, los mensajes de aprovisionamiento débilmente autenticados implementados por algunos fabricantes de dispositivos, incluidos Samsung, Huawei, LG y Sony, pueden permitir que los piratas informáticos remotos engañen a los usuarios para que actualicen la configuración de sus dispositivos con un atacante malicioso. Servidores proxy controlados.
Esto, a su vez, podría permitir a los atacantes interceptar fácilmente algunas conexiones de red que un dispositivo objetivo realiza a través de su servicio de soporte de datos, incluidos los navegadores web y los clientes de correo electrónico integrados.
«Solo se necesita un único mensaje SMS para obtener acceso completo a sus correos electrónicos», dicen los investigadores.
«En estos ataques, un agente remoto puede engañar a los usuarios para que acepten nuevas configuraciones de teléfono que, por ejemplo, enruten todo su tráfico de Internet para robar correos electrónicos a través de un proxy controlado por el atacante».
«Además, cualquier persona conectada a una red celular puede ser el objetivo de esta clase de ataques de phishing, lo que significa que no tiene que estar conectado a una red Wi-Fi para obtener sus datos privados de correo electrónico extraídos maliciosamente por los ciberatacantes».
Sin embargo, al igual que en el caso de configurar un proxy para una conexión Wi-Fi, no todas las aplicaciones instaladas en un dispositivo de destino utilizan la configuración de proxy para la red de datos móviles. En cambio, depende de qué aplicación se haya diseñado para aceptar el proxy configurado por el usuario.
Además, el servidor proxy no podría descifrar las conexiones HTTPS; por lo tanto, esta técnica es adecuada solo para interceptar conexiones inseguras.
«Esta es una clasificación completamente nueva de ataques de phishing en nuestros correos electrónicos», dijo Slava Makkaveev, investigador de seguridad de Check Point, a The Hacker News. «Al principio fue difícil clasificar la vulnerabilidad porque es un problema de especificidad profunda. Probablemente sea el ataque de phishing más avanzado en nuestros correos electrónicos que he visto hasta la fecha».
Volviendo a las debilidades que los investigadores de Check Point identificaron en la autenticación de los mensajes de aprovisionamiento, las especificaciones que el estándar de la industria recomienda para que el aprovisionamiento de OTA sea seguro no obliga a los operadores a autenticar adecuadamente los mensajes de CP utilizando USERPIN, NETWPIN u otros métodos.
Como resultado, un destinatario del mensaje (usuario objetivo) no puede verificar si el mensaje OMA CP con la nueva configuración se originó en su operador de red o en un impostor, lo que brinda a los atacantes la oportunidad de explotar esta debilidad.
«Más peligrosamente, cualquiera puede comprar un dongle USB de $ 10 [enviar mensajes falsos de CP OMA] y ejecutar un ataque de phishing a gran escala. No se requiere equipo especial para llevar a cabo el ataque», explican los investigadores.
«Los mensajes de CP de suplantación de identidad pueden ser dirigidos de manera restringida, por ejemplo, precedidos de un mensaje de texto personalizado diseñado para engañar a un destinatario en particular, o enviados a granel, suponiendo que al menos algunos de los destinatarios sean lo suficientemente crédulos como para aceptar un CP sin cuestionar su autenticidad.»
Los investigadores informaron sus hallazgos a los vendedores de teléfonos Android afectados en marzo de 2019. Samsung y LG han abordado el problema en su versión de mantenimiento de seguridad para mayo y julio, respectivamente.
Huawei planea solucionar el problema en la próxima generación de teléfonos inteligentes de la serie Mate o de la serie P, mientras que Sony se negó a reconocer el problema, afirmando que sus dispositivos móviles siguen la especificación OMA CP.
Incluso después de recibir parches, los investigadores recomendaron a los usuarios que no confíen ciegamente en los mensajes de sus operadores de telefonía móvil o en las configuraciones de APN disponibles en Internet, alegando que ayudan a los usuarios con la resolución de problemas en los servicios de operadores de datos.
Fuente: thehackernews.com
