Nedávno sme ťa informovali o novej zraniteľnosti SIM kariet, ktorá dostala pomenovanie SimJacker. Odborníci z Ginno Security Lab teraz objavili podobnú chybu s názvom WIBattack, ktorá umožňuje útočníkom ovládať niektoré kľúčové prvky telefónu, píše Engadget.
Zatiaľ čo chyba SimJacker spočíva v softvéri s názvom [email protected] Browser, ktorý umožňuje operátorom poskytovať základné služby SIM kariet, nový problém, ktorý experti nazvali WIBattack, umožňuje útočníkom prevziať kontrolu nad kľúčovými funkciami telefónu, ako je napríklad odosielanie správ alebo hovory, nasmerovať používateľa na phishingové webové stránky, a zároveň odosielať informácie o polohe zariadenia. Chyba posiela príkazy do softvéru WIB (Wireless Internet Browser), ktorý je podobne ako [email protected] Browser zabudovaný v množstve SIM kariet po celom svete.
Napriek tomu, že podľa expertov z Ginno Security Lab podporujú tieto softvéry stovky miliónov SIM kariet, správa od spoločnosti SRLabs naznačuje, že skutočný počet potenciálnych obetí chýb SimJacker môže byť podstatne nižší, informuje ZDNet.
Odborníci zo SRLabs nazbierali pomocou aplikácií SIMTester a SnoopSnitch údaje z 800 SIM kariet po celom svete, a zistili, že len 10,7 % z nich má nainštalovaný softvér WIB a 9,4 % obsahuje [email protected] Browser. Z týchto kariet je však dokopy voči aspoň jednému z útokov zraniteľných iba 9,1 %, čo nie je veľké množstvo.
Dôležité tiež je, že aj keď sú však oba softvéri na SIM karte prítomné, nemusí to podľa SRLabs automaticky znamenať, že sa karta stáva zraniteľnou. Útočníci musia totiž napadnutie spustiť zasielaním špecifických SMS správ, ktoré vydajú SIM karte zadané príkazy, čo môžu operátori pomocou bezpečnostných funkcií v oboch softvéroch na SIM kartách zablokovať.
Tieto útoky sú tiež podľa výskumného pracovníka zo SRLabs, Karstena Nohla, menej rozšírené než útoky typu SS7 či výmeny SIM kariet, a vyskytujú sa skôr sporadicky. Napriek tomu však ide o zásadný problém, ktorý nemusí byť veľmi ľahké odstrániť. Bezpečnosť SIM kariet však stojí hlavne na operátoroch, ktorí by mali v prvom rade zabezpečiť, aby k prípadným útokom nedochádzalo.