Исследователи заявляют, что 4G USB-модемы содержат эксплуатируемые уязвимости, посредством которых злоумышленники могут (а исследователи уже смогли) получить полный контроль над машинами, к которым подключены эти устройства.
На конференциях PacSec и Chaos Computer Club, прошедших в этом месяце в Токио и Гамбурге соответственно, исследователи из Positive Technologies представили отчет, описывающий способ компрометации USB-модемов и атаки на SIM-карты с помощью SMS-сообщений в 4G-сетях.
В дополнение к получению полного доступа к компьютеру атака на 4G-модем также дает доступ к учетным записям абонентов на порталах соответствующих операторов связи. Отправляя бинарные SMS-сообщения, исследователи смогли блокировать SIM-карты и перехватывать и расшифровывать трафик. Исследование было проведено командой Positive Technologies в составе Сергея Гордейчука, Александра Зайцева, Кирилла Нестерова, Алексея Осипова, Тимура Юнусова, Дмитрия Склярова, Глеба Грицая, Дмитрия Курбатова, Сергея Пузанкова и Павла Новикова.
Исследователи обнаружили, что из шести протестированных USB-модемов с 30 различными прошивками лишь три варианта прошивки были устойчивы к этой атаке.
С помощью Google исследователям удалось обнаружить находящиеся в публичном доступе учетные данные для доступа по telnet, но им понадобился http-доступ, чтобы следить за коммуникациями. После подключения USB-модемов к компьютерам и настройки устройств как отдельных узлов с веб-приложениями исследователи смогли выполнить межсайтовую подделку запроса, межсайтовый скриптинг и атаку удаленного запуска кода. С помощью этих атак исследователи получили IMSI, UICC, IMEI, информацию о версиях программного обеспечения, имена устройств, версии прошивок, статусы Wi-Fi и так далее (см. скриншот справа).
В дополнение к получению этой информации исследователи вынудили модемы изменить настройки DNS, что позволило перехватывать трафик, изменили настройки SMS-центра для перехвата и вмешательства в SMS-сообщения, сменили пароли на порталах самообслуживания, умышленно заблокировали модемы, вводя некорректные PIN или PUK, и удаленно обновили микропрограммы до уязвимых версий.
Исследователи отметили в блоге, что их методы атаки применимы не только к пользователям уязвимых смартфонов. Большое число объектов критической инфраструктуры, включая автоматизированные системы управления и SCADA-системы, используют технологии мобильной связи, основанные частично или в значительной степени на стандарте GSM. Некоторые банкоматы также используют USB-модемы для передачи платежных сообщений.
Их атака на SIM-карты была немного менее эффективна, позволив эксплуатировать около 20% протестированных SIM-карт. Фактически успешность этих атак зависела от того, смогли ли исследователи подобрать ключи DES, защищающие SIM. Ключи 3DES требуют значительно большего времени для взлома.
«Для подбора ключей DES мы использовали набор FPGA, которые пару лет назад вошли в моду для биткоин-майнинга и подешевели после того, как утихла шумиха, — написали исследователи. — Скорость наших восьми модулей *ZTEX 1.15y стоимостью 2000 евро составляет 245,760 Mcrypt/c. Этого достаточно для получения ключа в течение трех дней».
Это был их самый быстрый подбор ключа. Если бы у них был частично известный ключ 3DES, они смогли бы взломать его за 10 дней. При использовании обычного процессора вроде Intel Core i7-2600k взлом занял бы около пяти лет для DES и более 20 лет для 3DES.
После взлома DES или 3DES исследователи заявили, что они смогли отдавать команды приложениям инструментария (TAR). Одним из таких TAR была файловая система, хранящая временный идентификатор мобильного абонента (Temporary Mobile Subscriber Identity, TMSI) и ключи шифрования. Это дало исследователям возможность расшифровывать данные голосовых вызовов и текстовых сообщений, отслеживать местоположение абонента и вызывать состояние отказа в обслуживании вводом трех некорректных PIN-кодов и 10 некорректных PUK-кодов подряд, если PIN-код использовался для защиты файловой системы.