보안 허점으로 10 억 명의 Android 사용자가 고급 SMS 피싱 공격에 개방

보안 허점으로 10 억 명의 Android 사용자가 고급 SMS 피싱 공격에 개방

Check Point Research는 삼성, Huawei, LG, Sony 및 기타 Android 기반 전화의 보안 결함으로 사용자를 고급 피싱 공격에 취약하게 만듭니다.

영향을받는 Android 전화는 OTA (Over-the-Air) 프로비저닝을 사용하여 모바일 네트워크 사업자가 네트워크에 참여하는 새 전화에 네트워크 별 설정을 배포 할 수 있습니다. 그러나 연구원들은 OTA 프로비저닝에 대한 업계 표준 인 OMA CP (Open Mobile Alliance Client Provisioning)에 제한된 인증 방법이 포함되어 있음을 발견했습니다. 이를 악용하여 해커가 네트워크 운영자로 위장하여 사기성 OMA CP 메시지를 사용자에게 보낼 수 있습니다.

메시지는 예를 들어 공격자가 소유 한 프록시 서버를 통해 모든 인터넷 트래픽을 라우팅하고 공격자가 전자 메일을 읽을 수있게하는 악의적 인 설정을 수락하도록 사용자를 속입니다.

 

삼성 전화가 가장 취약
연구원들은 특정 삼성 휴대 전화가 OMA CP 메시지 발신자에 대한 진위 확인이 없기 때문에 이러한 형태의 피싱 공격에 가장 취약하다는 사실을 발견했습니다. 사용자는 CP 만 수락하면되고 발신자가 자신의 신분을 증명할 필요없이 악성 소프트웨어가 설치됩니다.

Check Point Software Technologies의 보안 연구원 인 Slava Makkaveev는“Android 기기의 인기를 얻으면서 해결해야 할 중요한 취약점입니다. “더 강력한 인증 형식이 없으면 악의적 인 에이전트가 OTA (over-the-air) 프로비저닝을 통해 피싱 공격을 시작하기 쉽습니다. 사용자가 OMA CP 메시지를 수신하면 신뢰할 수있는 출처의 메시지인지 식별 ​​할 수 없습니다. '수락'을 클릭하면 공격자가 전화를받을 수있게됩니다. "

화웨이, LG 및 소니 전화는 인증 확인 형식이 있지만 해커는 자신의 신원을 '확인'하기 위해 수신자의 국제 모바일 가입자 신원 (IMSI) 만 필요합니다.

공격자는 전화기의 IMSI를 설치 한 후 악의적 인 Android 앱을 작성하는 등 다양한 방법으로 피해자의 IMSI를 얻을 수 있습니다. 또한 공격자는 네트워크 운영자로 위장한 문자 메시지를 사용자에게 전송하고 핀으로 보호 된 OMA CP 메시지를 수락하도록 요청함으로써 IMSI의 필요성을 우회 할 수 있습니다. 사용자가 PIN 번호를 입력하고 OMA CP 메시지를 수락하면 IMSI없이 CP를 설치할 수 있습니다.

일부 수정이 가능합니다
연구원들은 2019 년 3 월에 영향을받은 공급 업체에 조사 결과를 공개했습니다.

삼성은 5 월 보안 유지 보수 릴리스 ( SVE-2019-14073 ) 에이 문제를 해결하는 픽스를 포함 시켰습니다.
LG는 7 월에 수정을 발표했다 ( LVE-SMP-190006 )
화웨이는 차세대 메이트 시리즈 또는 P 시리즈 스마트 폰에 OMA CP를위한 UI 픽스를 포함 할 계획이다
소니는 자사의 장치가 OMA CP 사양을 준수한다고 밝혔다.