Dans ce type d’attaque, les pirates conçoivent des messages SMS sur mesure, pour intercepter la totalité du trafic de messagerie à destination et en provenance des appareils mobiles, en les déguisant en messages innocents de « mise à jour des paramètres réseau » émanant de leur opérateur de télécom de confiance tel que T-Mobile, Verizon ou AT&T. Un seul message SMS suffit pour obtenir un accès complet à vos emails. Le destinataire du message SMS ne peut vérifier si les paramètres suggérés proviennent de son opérateur de télécom ou d’un dangereux imposteur. Plus dangereux encore, n’importe qui peut acheter un dongle USB à 10 € et lancer une attaque de phishing à grande échelle. Aucun équipement spécial n’est requis pour mener à bien l’attaque. Toute personne connectée à un réseau cellulaire peut devenir la cible de ce type d’attaque de phishing, ce qui signifie que vous n’êtes pas obligé d’être connecté à un réseau Wifi pour que vos données personnelles soient extraites de manière illicite par des cybercriminels.
Portée de la vulnérabilité
N’importe quel téléphone Android dans le monde peut devenir la cible d’un message SMS malveillant conduisant à la prise de contrôle des emails. Les téléphones fabriqués par Samsung, Huawei, LG et Sony comptent pour plus de 50 % de tous les téléphones Android dans le monde. Selon des analystes, il existe 2,5 milliards d’utilisateurs actifs d’Android par mois dans le monde entier. La part de marché du système d’exploitation mobile Android dans le monde est de 76,08 %.
Déroulement d’une attaque
Le vecteur d’attaque repose sur un processus appelé provisionnement OTA (Over-the-Air), utilisé habituellement par les opérateurs de téléphonie mobile pour déployer des paramètres spécifiques à leur réseau sur les nouveaux téléphones rejoignant leur réseau. Check Point Research a cependant démontré que n’importe qui peut envoyer des messages de provisionnement OTA pour accéder à des emails. Ainsi, un opérateur de télécom envoie généralement un message de bienvenue dès qu’il détecte un nouvel appareil sur son réseau. Le message des opérateurs est utilisé pour déployer des paramètres spécifiques à leur réseau, tels que l’adresse du centre de service MMS. Le format du message est défini par l’OMA (Open Mobile Alliance), un organisme de normalisation qui élabore des normes ouvertes pour le secteur de la téléphonie mobile. Parmi les membres de l’OMA figurent notamment ARM, AT&T, Ericsson, Intel, Nokia, Orange, Qualcomm, Sierra Wireless et T-Mobile. Le standard du secteur pour le provisionnement OTA, OMA CP (Open Mobile Alliance Client Provisioning), possède des méthodes d’authentification limitées : un destinataire ne peut vérifier si les paramètres suggérés proviennent de son opérateur de télécom ou d’un imposteur dangereux cherchant à lire ses emails. Check Point Research a découvert que les téléphones fabriqués par Samsung, Huawei, LG et Sony permettent aux utilisateurs de recevoir des paramètres malveillants via de tels messages de provisionnement faiblement authentifiés afin d’accéder à leurs emails privés.
Réponses de Samsung, Huawei, LG, Sony et OMA
Check Point Research a communiqué ses conclusions aux entreprises concernées en mars 2019. Samsung a inclus un correctif pour cette vulnérabilité dans sa version de maintenance de sécurité du mois de mai (SVE-2019-14073). LG a publié son correctif en juillet (LVE-SMP-190006). Huawei a annoncé son intention d’inclure des correctifs de l’interface utilisateur pour OMA CP dans la prochaine génération des smartphones de la série Mate ou de la série P. Sony a refusé de reconnaître la vulnérabilité, affirmant que ses appareils étaient conformes à la spécification OMA CP. L’OMA suit ce problème sous la référence OPEN-7587.
Comment atténuer l’attaque
Ignorez les messages de provisionnement provenant de tiers non autorisés au niveau du réseau ou de désactiver complètement la fonctionnalité de provisionnement client.
Même si des correctifs sont publiés par les fournisseurs Android nommés, nous ne devrions plus faire confiance aux messages des opérateurs de téléphonie mobile, et réfléchir à deux fois avant d’installer quoi que ce soit de recommandé via des messages. L’installation d’un proxy WAP via le message d’un opérateur permet l’interception de la totalité du trafic de messagerie d’une cible dans le monde entier. Ce type de cyberattaque est unique car il ne nécessite aucune connexion Wifi, ce qui rend les emails des utilisateurs Android vulnérables à tout moment de la journée ou tant qu’ils sont connectés au réseau de leur opérateur.
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
