Check Point Research披露導致 Android 智慧手機易受高級 SMS 網路釣魚攻擊的安全性漏洞
安全性漏洞對三星、華為、LG 和SONY手機造成重大影響
全球領先網絡安全解決方案供應商Check Point® 軟體技術有限公司（納斯達克股票代碼：CHKP）的威脅情報部門Check Point Research披露了三星、華為、LG、SONY及其他基於Android作業系統的手機存在安全性漏洞，導致使用者容易受到高級網路釣魚攻擊。
受影響的Android 手機使用無線 (OTA) 配置，支援蜂窩網絡營運商由此將網絡特定設置部署到接入其網絡的新手機。 但Check Point Research 發現，OTA 配置行業標準 – 開放移動聯盟用戶端配置 (OMA CP) 採用有限的身份驗證方法。遠程代理能夠利用這一點偽裝成網絡營運商，並向使用者發送詐騙性 OMA CP 消息。該消息利誘使用者接受惡意設置，例如，通過駭客擁有的代理伺服器傳輸其互聯網流量。
研究人員證實，由於某些三星手機沒有對 OMA CP 消息寄件者進行真實性檢查，因此最容易受到這種形式的網絡釣魚攻擊。只需使用者接受 CP (用戶端配置)，惡意軟件即可安裝，無需寄件者證明其身份。
華為、LG 和SONY手機確實設有一種身份驗證方式，但駭客只需收件者的國際流動使用者識別碼 (IMSI) 便可「確認」其身份。攻擊者能夠通過各種方式獲取受害者的 IMSI，包括創建一個惡意 Android 應用程式，以在其安裝後讀取手機 IMSI。 此外，攻擊者還可以偽裝成網絡營運商向使用者傳送簡訊，並要求他們接受 PIN 保護的 OMA CP 消息，從而繞過對 IMSI 的需求。 如果使用者隨後輸入提供的 PIN 碼並接受 OMA CP 消息，則無需 IMSI 即可安裝用戶端配置。
Check Point 軟體技術公司安全研究員 Slava Makkaveev 表示：「鑒於 Android 設備日益普及，這是一個必須解決的嚴重漏洞問題。如果沒有更強大的身份驗證方式，惡意代理將很容易通過無線配置發起網絡釣魚攻擊。當收到 OMA CP 消息時，使用者無法分辨它是否來自可靠來源。在點擊 “接受”後，他們的手機將很可能遭到攻擊者的入侵。 」
3 月，研究人員向受影響的廠商披露了研究結果。 三星在其 5 月安全維護版本 (SVE-2019-14073) 中提供了針對此網絡釣魚攻擊的修復程式，LG於7月發佈了他們的修復程式 (LVE-SMP-190006)，華為計劃將針對 OMA CP 的 UI 修復程式納入新一代 Mate 系列或 P 系列智慧手機中。 SONY拒絕承認該漏洞的存在，稱其設備遵循 OMA CP 規範。
Check Point SandBlast Mobile 能夠防止中間人和網絡釣魚攻擊，進而保護設備免遭此類惡意 OMA CP 消息的侵害。更多資訊，請瀏覽https://www.checkpoint.com/products/mobile-security/
如欲了解有關此研究的更多詳情，請瀏覽我們的Blog：
關注 Check Point Research：
Blog：https://research.checkpoint.com/
Twitter：https://twitter.com/_cpresearch_
關於 Check Point Research
Check Point Research 能夠為 Check Point Software 客戶以及整個情報界提供領先的網絡威脅情報。 Check Point 研究團隊負責收集和分析 ThreatCloud儲存的全球網絡攻擊數據，以便在防範黑客的同時，確保所有 Check Point 產品都享有最新保護措施。此外，該團隊由 100 多名分析師和研究人員組成，能夠與其他安全廠商、執法機關及各個計算機安全應急響應組展開合作。
關於 Check Point 軟件技術有限公司
Check Point 軟件技術有限公司 (www.checkpoint.com) 是一家面向全球政府和企業的領先網絡安全解決方案提供商。Check Point 解決方案對惡意軟件、勒索軟件和高級目標威脅的防範率處於業界領先水準，可有效保護客戶免受第五代網絡攻擊。Check Point 為業界提供前瞻性多級安全架構 Infinity Total Protection，這一組合產品架構具備第五代高級威脅防禦能力，可全面保護企業的雲端、網絡和流動設備。 Check Point 還可提供最全面、最直觀的單點控制安全管理系統。 Check Point 為全球超過10萬家各種規模的企業提供保護。
發表迴響