Monitor das Fraudes - O primeiro site lusófono sobre combate a fraudes, lavagem de dinheiro e corrupção
Monitor das Fraudes

>> Visite o resto do site e leia nossas matérias <<

CLIPPING DE NOTÍCIAS


Acompanhe nosso Twitter

31/07/2009 - Convergência Digital Escrever Comentário Enviar Notícia por e-mail Feed RSS

Operadoras são alertadas para vulnerabilidades no SMS/MMS


Pesquisadores presentes à conferência de segurança da Black Hat,realizada esta semana, nos Estados Unidos, mostraram como um ataque pode disfarçar uma mensagem MMS que pareça ter sido enviada da operadora ou de alguma outra fonte confiável.

Esse ataque em mensagens MMS (multimedia messaging service), um tipo de SMS, permite a um hacker enganar o dono do dispositivo para que ele visite um site malicioso na rede ou, até, fazer algo que prejudique o telefone ou roube dados.

O ataque funciona, potencialmente, em qualquer tipo de aparelho que utilize MMS e opere por redes GSM, disse Zane LAckey, consultor sênior da ISEC Partners, e o pesquisador independente Luis Miras.

Eles usaram um iPhone desbloqueado para demonstrações de seu código de prova-de-conceito que permite contornar as proteções da operadora para comunicações SMS enviado mensagens MMS especialmente criadas.

Comunicações SMS são utilizadas por operadoras para fazer administração por telefone e contactar consumidores. Por exemplo, avisos de mensagens de voz são costumeiramente enviadas por SMS, de acordo com Lackey.

Como resultado, essas mensagens de administrador confiáveis para os recipientes, apesar de normalmente não revelarem a origem da mensagem e outros detalhes, eles dizem. Mensagens falsas podem parecer terem vindo de qualquer empresa de confiança, como um banco.

"Isso é uma questão das operadoras", disse Miras."Mostramos para elas e elas estão trabalhando num conserto", completou. Os pesquisadores também compartilharam a informação com a GSM Alliance, que está apresentando detalhes dessa vulnerabilidade para as operadoras.

Em uma demonstração, eles enviaram uma mensagem para uma vítima oferecendo créditos de US$ 20 e incluía um link para um site supostamente malicioso. Em outras demonstrações, os pesquisadores enviaram um falso alerta de mensagem de voz e um SMS que estimulava o assinante a aceitar ou recusar novos e desconhecidos ajustes no telefone.

Se o usuário aceitasse as mudanças acreditando que se tratava de alguma rotina da operadora, o atacante poderia utilizar a permissão dada para fazer algo como dirigir todo o tráfego de telefone para o servidor do agente, ao invés do servidor da operadora, o que permitiria a esse agente espionar todas as comunicações.

O uso da vulnerabilidade do SMS mostrado pelos pesquisadores permite um atacante contornar as proteções da operadora contra falsificações, incluído filtros anti-malware, disse Lackey. Os ataques também podem ser usados para descobrir qual o sistema operacional o telefone utiliza, de forma que alguém pode lançar um ataque focado naquele software, ele disse.

Lackey e Miras apresentaram uma ferramenta chamada TAFT (There’s na Attack For That) que automatiza as falhas de implementação que foram consertadas. Mas não atua na questão da falsificação, que as operadoras ainda precisam resolver, eles dizem.

Ataques ao SMS estão ficando mais fáceis porque equipamentos iPhones e Android são facilmente modificados e porque a funcionalidade do SMS foi construída em camadas mais altas, que permitem total acesso a um atacante, disse Lackey.

Os pesquisadores também disseram que encontraram uma falha de implementação do SMS que eles exploraram para temporariamente interferir no processo telefônico de um aparelho Android de forma que nem chamadas, nem textos podiam ser enviados ou recebidos. O Google consertou a falha, eles dizem. Eles também descobriram uma falha numa aplicação de terceiros para iPhone, da SwirlySpace, que interferiu com as capacidades de telefone e texto e que também foi consertada, reportou Miras.

Página principal do Clipping   Escreva um Comentário   Enviar Notícia por e-mail a um Amigo
Notícia lida 419 vezes




Comentários


Nenhum comentário até o momento

Seja o primeiro a escrever um Comentário


O artigo aqui reproduzido é de exclusiva responsabilidade do relativo autor e/ou do órgão de imprensa que o publicou (indicados na topo da página) e que detém todos os direitos. Os comentários publicados são de exclusiva responsabilidade dos respectivos autores. O site "Monitor das Fraudes" e seus administradores, autores e demais colaboradores, não avalizam as informações contidas neste artigo e/ou nos comentários publicados, nem se responsabilizam por elas.


Patrocínios




NSC / LSI
Copyright © 1999-2016 - Todos os direitos reservados. Eventos | Humor | Mapa do Site | Contatos | Aviso Legal | Principal