Nederlanders demonstreren sms-aanval voor aftappen webverkeer smartphones

Het is Nederlandse ontwikkelaars gelukt een methode te ontwikkelen om via een simpele sms internetverkeer van smartphones af te luisteren. De methode werkt op alle smartphones en is geen lek dat eenvoudig gedicht kan worden.

Het beveiligingslek zit in de manier waarop smartphones sms'jes tonen. Door de header van een sms-bericht aan te passen is het de ontwikkelaars van het Nederlandse bedrijf MobiConsult gelukt om berichten te sturen als configuratiebericht van een provider. Door vlak daarvoor een sms namens de provider te sturen met het bericht dat de instellingen eraan komen, verwachtten ze dat veel mensen in deze truc zouden trappen.

MobiConsult maakte een proof-of-concept in opdracht van het Noorse bedrijf Rosberg. Rosberg wil providers een oplossing voor dit probleem aanbieden in de vorm van een proxy. Die zou elke sms voor binnenkomst op het toestel onderscheppen en vervolgens blokkeren of doorzetten als ander bericht, waardoor het niet als configuratiebericht op het toestel wordt getoond. Rosberg heeft inmiddels een patentaanvraag lopen voor deze oplossing.

Providers kunnen het lek vooralsnog niet dichten, dat kan pas vanaf eind juni, zegt André van Wieringen van MobiConsult. "We hebben er desondanks voor gekozen om het al naar buiten te brengen, omdat je het niet 1-2-3 kunt repliceren. Bovendien vereist het voor honderden euro's aan hardware."

De proof-of-concept bestaat eruit dat een testtelefoon een configuratiebericht krijgt, waarna na installatie in een reguliere apn van bijvoorbeeld KPN een eigen proxy is toegevoegd. Via die proxy kunnen de ontwikkelaars alle http-requests van een smartphone uitlezen. Dankzij de proxy zouden ze ook aanvallen kunnen uitvoeren door kwaadaardige code toe te voegen aan webpagina's, maar die test is niet uitgevoerd. "Wij wilden alleen aantonen dat het zou kunnen", zegt Van Wieringen.

De gevolgen van deze hack kunnen groot zijn, juist omdat een telefoonnummer voldoende is om het uit te voeren. Via een desktopprogramma kan een aanvaller sms'jes versturen om de hack mogelijk te maken. "Als bijvoorbeeld Opstelten het internetverkeer van Wilders zou willen monitoren, kan dat op deze manier vrij makkelijk."

Rosberg heeft al contact gehad met veel grote providers wereldwijd. Concepten om een telefoon binnen te dringen via sms zijn niet nieuw. Een Zweed toonde bijvoorbeeld enkele maanden geleden hoe het mogelijk was om niet-verwijderbare sms'jes te sturen. MobiConsult demonstreerde deze kwetsbaarheid, die ook op alle platforms werkt, eveneens.

Reacties (70)

[Midas.e]

Download voor now.sms http://www.nowsms.com/download-free-trial, gratis trail. Daarna moet je nog een operator type sms maken, hey handig! dat kan met dezelfde software.
Squid proxy opzetten: https://www.digitalocean....proxy-on-ubuntu-12-10-x64
server nodig? sure spin een digital ocean droplet op voor 5 eu/mnd of zoek even naar een promocode.

Het is belachelijk dat de providers niet de kans krijgen om dit te fixen. Elk bedrijf met een grammetje verandwoording doet het pas 1 maand nadat de providers de kans hebben gehad om dit te kunnen fixen.

[Relief2009]

Dit soort bedrijven leven op gaten in beveiliging. Waarom gratis weggeven?

[Auredium]

Social engineering 101. Dit lijkt heel veel op de oude truuk om een willekeurige baliemedewerker van bedrijf 'X' te bellen en je voor te doen als ICT medewerker van het bedrijf.

Ik denk dat je met deze kennis het beste gewoon de instellingen kunt weigeren en als het dan toch een bericht van de provider was en geen hack-poging zal de provider vast gaan emmeren of werken bepaalde services niet meer waardoor jij bij de provider moet gaan emmeren.

Ik verwacht wel dat het gebruikt gaat worden aangezien het onafhankelijk werkt van het type smartphone. Helaas zijn er altijd wel mensen die gewoon de fout in gaan. Vooral bij dit soort trukk is het erg belangrijk om het publeik zo veel mogelijk hierover in te lichten. Wellicht dat providers zelf via een dergelijk smsjes hun gebruikers voor deze truuk kunnen waarschuwen. ( Anders mss wel een goed gemutste hacker via een provider push sms )

[Teckna]

In hoeverre is dit verschillend met wat bijvoorbeeld FinFisher al jaren en jaren commercieel doet? Niets nieuws onder de zon lijkt mij?

[Reactie gewijzigd door Teckna op 25 juli 2024 22:39]

[Anoniem: 16328]

Rosberg heeft inmiddels een patentaanvraag lopen voor deze oplossing.

Oplossing voor iets wat nog nooit een probleem is geweest. Nu is de hack bekend en gaat er mogelijk misbruik van worden gemaakt. Rosberg zegt zie je nu wel u moet onze oplossing kopen. Kassa.

"We hebben er desondanks voor gekozen om het al naar buiten te brengen, omdat je het niet 1-2-3 kunt repliceren. Bovendien vereist het voor honderden euro's aan hardware."

Honderden euro's is natuurlijk niets voor criminele organisaties die zich bezighouden met het stelen van persoonsgegevens.

[Reactie gewijzigd door Anoniem: 16328 op 25 juli 2024 22:39]

[RadioKies]

Inderdaad, dit is een "legale" manier van crimineel zijn als je er zo naar kijkt. Ik vraag mij ook af of je (de onderzoeker) moreel gezien dit zo naar buiten had mogen brengen.

Sowieso raar dat dit mag. Mag ik dan ook een fout in andermans zaken zoals google, bankwezen of overheidsgebeuren vinden en dat patenteren? Wat als je een bug ziet in IE11, mag het ook daarbij? Ik vind het krom.

[paradoXical]

En waarom zou dit moreel gezien verkeerd zijn, ik ben namelijk erg blij dat ik hiervan op de hoogte ben, en heb een aantal mensen al op de hoogte gebracht, just in case. De kans dat kwaadwillenden hiervan op de hoogte zijn en op dit moment al actief misbruik van gemaakt wordt is er. Awareness = een belangrijke factor in deze.

[Reactie gewijzigd door paradoXical op 25 juli 2024 22:39]

[RadioKies]

Op de hoogte brengen is juist iets wat goed is. Maar de oplossing/fout patenteren.... nee.

Stel je voor dat een idioot de Y2K bug oplossing pattenteerde ipv laatste 2 jaartal cijfers meer dan 2 jaartal cijfers gebruiken nmlk het hele jaar. Wat schiet je daarmee op? Je jaagt mensen de kosten op. De bedrijven die berekenen het gewoon door aan de klant.

@Relief2009
Als je de providers erop attendeerd kunnen ze zelf wel voor een oplossing zorgen. Ik denk niet dat de oplossing die gegeven is raketwetenschap was.

[Reactie gewijzigd door RadioKies op 25 juli 2024 22:39]

[Relief2009]

Je patenteert geen gat, maar een oplossing voor een probleem waarbij de providers afhankelijk zijn van jou om die oplossing te verkrijgen.

[SnowmanXL]

Goed voorbeeld van het activeren van een latente behoefte. Dit is inderdaad laten zien hoe ergens moet ingebroken worden, patent nemen op de beveiliging daartegen en vervolgens flink geld gaan vragen.
Als je het mij vraagt is dit bijna crimineel/strafbaar...

[zenlord]

Oplossing voor iets wat nog nooit een probleem is geweest.

1. Hoe zeker ben je daarvan? Wie weet is deze kwetsbaarheid gebruikt door de NSA om gsm's van Merkel en anderen af te luisteren...
2. Het is niet omdat hij het enige tijd geleden heeft ontdekt dat het niet zou ontdekt worden door een andere met minder nobele bedoelingen in de toekomst.

[Anoniem: 415735]

"Oplossing voor iets wat nog nooit een probleem is geweest. "
Hoezo is dit nooit een probleem geweest? Deze zwakheid van gespoofde sms-jes was al bekend ten tijde dat het GSM-protocol werd gekraakt.
Het enige verschil tussen toen en nu is dat de hacker toegang heeft tot meer gevoelige data omdat we tegenwoordig smartphones gebruiken.

Edit: verder is de oplossing van Rosberg zo evident dat je nieteens de achterkant van een bierfiltje nodig hebt.

[Reactie gewijzigd door Anoniem: 415735 op 25 juli 2024 22:39]

[Gropah]

Rosberg wil providers een oplossing voor dit probleem aanbieden in de vorm van een proxy. Die zou elke sms voor binnenkomst op het toestel onderscheppen en vervolgens blokkeren of doorzetten als ander bericht, waardoor het niet als configuratiebericht op het toestel wordt getoond.

Dit zou ik persoonlijk een te grote schanding van privacy vinden. Ze gaan dus alle SMS'jes scannen om te kijken of het een configuratie bericht is? Als we dan toch bezig zijn, misschien kunnen ze dan ook gaan scannen of het berichten tussen terroristen zijn, of aanhangers van dat ene geloof? Misschien volger van die ene politicus/partij?

Op het moment dat er aan dit soort dingen begonnen wordt gaat het fout. Doe gewoon niet en licht mensen een beetje in over wanneer je zo'n SMS hoort te krijgen, dan is dit allemaal niet nodig

[GORby]

Je bedoelt dat je ook tegen spamfilters en virusscanners in e-mail bent?
Wat daar komt het eigenlijk ongeveer op neer, al zouden ze zelfs zonder het bericht te scannen automatisch de 'operator config' flag kunnen uitzetten en gewoon doorsturen.

[Gropah]

Virusscanners ben installeer je zelf en spamfilters ga je altijd mee akkoord als gebruiker en daar heb je ook de keus om het niet te installeren/gebruiken. Als je provider dit voor je doet (en op den duur gaat iedere provider dit doen als het wordt toegestaan, want marketing dus geld) heb je die keus niet

[Woestijn]

Bij Ziggo is er geen mogelijkheid om het spam-filter volledig uit te zetten hoor? Je kunt het hoogstens op 'zeer laag' instellen, en dan nog komen veel dingen niet aan. Stoor me daar al jaren aan, en vraag me zelfs af of dat wel legaal is die vorm van opgedrongen censuur.

[GORby]

Ga jij er als verzender van e-mail expliciet mee akkoord dat mails die jij verstuurd gescand worden door de spamfilter van de ontvanger? Ik dacht het niet...
Het lijkt me trouwens dat mails die ik verstuur kwa privacy zeker zo gevoelig zijn als mails die ik ontvang. Zolang het een geautomatiseerde scan is met als enige doel het blokkeren van gevaarlijke en ongewenste berichten, heeft dat trouwens weinig met privacy te maken, want niemand leest je berichten.

[zenlord]

Je overschat de modale jan-met-de-pet vrees ik.

Als zo'n proxy er enkel op gericht is om de headers van berichten te controleren op kwaadwillige gegevens, kan de privacy van de gebruikers (imho) voldoende worden gegarandeerd, en dergelijke screening kan perfect door lokale of internationale overheden aan banden worden gelegd.

[Gropah]

Je bedoelt de headers waarover laatst een groot debacle is geweest omdat buitenlandse agentschappen ze dootzochten, welke door de nederlandse overheid werden aangeboden, waarna er een hele rel ontstond? Die zelfde headers zou je nu beschikbaar willen stellen zodat consumenten minder hoeven na te denken?

[drdelta]

Zodat consumenten minder onbeschermd zijn, 9/10 mensen zal niet weten dat dit kan en wat de mogelijke gevolgen zijn. En eigenlijk zou dit ook niet moeten kunnen, dit is dan volgens mij ook veel redelijker dan wat de NSA en consorten doen.

[zenlord]

Neen, SMS headers zijn fundamenteel verschillend van email headers. In een SMS header zit geen inhoud, maar enkel meta-data om aan de ontvangende applicatie mee te geven hoe de inhoud moet worden weergegeven:
http://en.wikipedia.org/wiki/User_Data_Header

Bovendien schreef ik zeer expliciet 'de headers van berichten controleren op kwaadwillige gegevens', dus niet zomaar scannen en indexeren - neen: gericht doorzoeken op bepaalde signaturen van malware.

Sowieso zou de beheerder van een dergelijke proxy informatie een overeenkomst moeten tekenen met de overheid, ofwel minstens aan de gebruikers van de proxy meedelen welke processing er wordt uitgevoerd op de berichten die er passeren.

[OverSoft]

Scannen wil niet zeggen lezen. Sowieso worden er bij bijna iedereen dingen gescanned door de (mobiele) provider. Bij sommige providers gaan zelfs de meeste websites door een proxy en worden "verkleind" (kleinere plaatjes bijvoorbeeld).

Dit is niet anders, het is gewoon een geautomatiseerd proces wat het type smsje stopt wat schade kan aanrichten, of ben je ook tegen firewalls? Die houden ook berichten tegen op basis van berichttype...

[Armin]

Ze gaan dus alle SMS'jes scannen om te kijken of het een configuratie bericht is

De header van zo'n SMS is anders, dus dat kan men al zonder de inhoud te scannen.

[WimOBL]

Wow dat is behoorlijk doortrapt...
Al vraag ik me wel af hoe krijg je een configuratiebericht verstuurd alszijnde van de provider...

[DeeCruise]

Staat in het artikel:

"Door de header van een sms-bericht aan te passen is het de ontwikkelaars van het Nederlandse bedrijf MobiConsult gelukt om berichten te sturen als configuratiebericht van een provider."

[SidewalkSuper]

Daarmee wordt ook gelijk duidelijk dat deze hack in ieder geval niet van toepassing kan zijn op iOS. De titel zou dan ook eigenlijk iets anders moeten zijn dan het allesomvattende "smartphones". Ik kan Windows Phone uit mn hoofd niet met 100% zekerheid uitsluiten, maar volgens mij slaat dit hele artikel alleen op Androids.

Apple versleutelt zelf namelijk de configuratiebestanden voor providers en heeft dus nooit last van dit soort problemen, omdat die sleutel niet publiek is. Dit is ook de reden dat er destijds geen aangepaste configuratiesettings gebruikt konden worden om de Belgische gebruikers van Base of Belgacom toegang tot 4G te geven.

[xleeuwx]

Volgens mij worden deze files ook automatisch opgehaald of niet ? althans ik heb er geen erg in dat er nieuwe file's worden gepushed

[SidewalkSuper]

Er wordt altijd aangegeven dat er nieuwe carrier settings zijn, op iOS zijn dat ipcc-bestanden. Die worden inderdaad gepusht naar je iDevice, maar dan is aan jou de keus om ze te accepteren. Bij iedere nieuwe iOS update daarna, worden de laatste carrier settings in ieder geval weer meegebakken, dus heb je ze dan alsnog als je ze tot dan toe altijd geweigerd had.

[Jeroen]

Dat je ze nog moet accepteren is niet het probleem, daar zou het 'info-smsje' waar ze het in het artikel over hebben voor dienen.

[SidewalkSuper]

Dat snap ik, maar als je ze accepteert gaat je iDevice dus kijken of het ipcc-bestand correct is versleuteld door middel van public-key cryptography. Is dat niet zo, of klopt de hash niet (aangepaste ipcc) dan werkt het niet.

[xleeuwx]

Weten we dat ook weer

[SidewalkSuper]

Het gaat er niet om dat Apple-gebruikers op OK drukken, dat zullen ze natuurlijk ook wel doen. Totale onzin trouwens om hierin onderscheid te maken tussen Android, Windows Phone en iOS-gebruikers. De massa is allemaal even dom/slim hierin. Dat "voorrecht" is echt niet voorbehouden aan 1 gebruikersgroep. Verder weinig zin om op je Apple-gebruikers bashen in te gaan.

Het gaat erom dat je iDevice het toegestuurde bestand niet zal accepteren, omdat er gebruik wordt gemaakt van versleuteling van Apple's kant. Dus ook al klik je op OK, dan ziet je iDevice dat de versleuteling niet klopt, of dat de hash niet overeenkomt.

[Reactie gewijzigd door SidewalkSuper op 25 juli 2024 22:39]

[WimOBL]

Jah maar hoe kun je de header dan aanpassen... Dat vraag ik me af... Hiernaast wordt een configuratiebericht alleen verstuurd naar je telefoon als je nog niet eerder via de betreffende telefoon op het netwerk van de provider bent gekomen.
En/of als je je telefoon opnieuw opstart en je maakt 'opnieuw' contact met het netwerk.

[Anoniem: 120539]

Wat je zegt klopt; dat is de gebruikelijke methode. Dat komt omdat 'het netwerk' dit nieuwe toestel ziet, en besluit er een bericht naar te sturen.
Er is echter geen reden waarom je zo'n bericht niet tussendoor zou kunnen versturen; de telefoon ontvangt wel.

[jarrin]

Net zoals je die bij mails gewoon kan aanpassen. SMS gateways bieden overigens ook de mogelijkheid om een ander nummer op te geven als afzender.

Op het versturen zit namelijk geen verificatie of het nummer wel echt bij de afzender hoort. Dat is gewoon de wijze van hoe het huidige SMS-systeem is opgezet (en ook het mailsyteem).

Als jij op je android/iPhone/WP/ een SMS typt zie je inderdaad geen header. Maar die is wel degelijk op de achtergrond aanwezig. Dit programmatje zorgt er dus voor dat het wel inzichtbaar/aanpasbaar is.

[Reactie gewijzigd door jarrin op 25 juli 2024 22:39]

[SpoekGTi]

Hetzelfde als dat ik als email adres een hele andere afzender kan hebben dan mijn eigen email adres......en zeg nou zelf, als je in een berichtje leest dat het van provider x komt en dan van een 4 cijferig nummer dan is voor de gemiddelde gebruiker er niet echt een lampje wat gaat branden van goh dat zou wel eens gevaarlijk kunnen zijn.

[xleeuwx]

Je kan gewoon een bericht versturen vanaf een naam De meeste smartphones laten dan gewoon de naam zien inplaats van het nummer.

Als hier dan bijvoorbeeld KPN staat en die zegt dat er nieuwe instructies komen dan trapt zeker 90% daarin.

Dus ja, zonder dat je dit bericht had gelezen had jij hier ook in getrapt. net als ik.

[Reactie gewijzigd door xleeuwx op 25 juli 2024 22:39]

[massareal]

Ik stel altijd mijn eigen gsm in, geen instellingen van (iemand die lijkt op)mijn provider.

ad>
Lol, waarom al die min mods? Dacht dat hier tussen de tweakers begaf

[Reactie gewijzigd door massareal op 25 juli 2024 22:39]

[xleeuwx]

Gelukkig dat er nog mensen zijn die in de uitzondering categorie behoren neemt niet weg dat 90% van de bevolking het wel doet.

[HMC]

Dat blijkt wel ja, aangezien de min-mods. Van mij dikke plus, want zo hoort het gewoon.
Even provider site bezoeken, en de dingetjes zelf intikken.
Maarja, gemak dient de mens, en dat is nou precies waar misbruik van gemaakt wordt.

[Armin]

Al vraag ik me wel af hoe krijg je een configuratiebericht verstuurd alszijnde van de provider

Exact ook waar deze hack makkelijk te stoppen is, als dat niet al bij veel providers zo is.

Men roept wel stoer dat het bij elke telefoon en elke provider werkt, maar deze 'aanval' is een ordinaire phising SMS. Zou je de spoofing uitzetten wordt het al sneller herkent.

En bovendien is het voor een provider niet zo lastig om configuratie berichten te blokkeren indien niet gestuurd door henzelf (of speciale select partners). Sterker nog het zou mij verbazen als dat niet al lang zo is. Providers hebben geen last van spoofing en zien immers op hun eigen netwerk dat het bericht niet van henzelf is.

Bij voicemail was er enige tijd ook zo iets. Denk aan de voicemails hacks waar een nummer spoofer de voicemail centrale voor de gek hield, zodat geen pincode gevraagd werd. Dit is inmiddels gedicht bij veel providers. Iets soortgelijks doen ze heir met SMS, maar is dus ook makkelijk te blokkeren.

En te blokkeren zonder proxy, dus die patent-aanvraag gaat het ook niet worden

[himlims_]

Het is combinatie van push- en sms-bericht. Wanneer je CDM/Push berichten/Amber alert uitzet op je toestel; dan ben je niet meer kwetsbaar lijkt me, gaat dat op?

[Armin]

Nee, waarschijnlijk niet. Die berichten die jij noemt zijn een soort berichten, dan de configuratie-SMS.

Gewoon niet zomaar een configuratie accepteren als je er niet zelf om gevraagd hebt.

[jpm.lensen]

In een vorige baan van me gewerkt met het systeem wat dit soort berichten verstuurd. Het grootste probleem is dat sommige toestellen helemaal geen melding geven. Maar het gewoon doen. De oplossing via sms filter lijkt me vrij vertragend en moeilijk. Het blokkeren van niet provider gestuurde binaire sms lijkt me beter

[SpoekGTi]

Dus in het vervolg geen operator updates meer klakkeloos binnenhalen en updates maar klik weg, hang op en bel je provider

[bonyuri]

Ik zou een bericht van mijn provider (waar ik niet om heb gevraagd) altijd wantrouwen.
Normaliter krijg je alleen maar zo'n bericht als je zelf eerst een bericht stuurt naar bijvoorbeeld dat 1300 nummer.

[OverSoft]

Of als je een nieuwe telefoon hebt. Als je provider ziet dat je IMEI nummer is veranderd met gebruik van dezelfde SIM (dus dat je je huidige SIM in een nieuwe foon hebt gestopt), dan krijg je altijd een SMSje met de nieuwe instellingen, zodat je telefoon direct ingesteld is.

Je hoeft deze dus lang niet altijd aan te vragen.

[SinergyX]

Door vlak daarvoor een sms namens de provider te sturen met het bericht dat de instellingen eraan komen, verwachten ze dat veel mensen in deze truc zouden trappen.

Dus per saldo zit de fout bij de gebruiker?

[corset]

Uiteindelijk wel ja. Dat maakt het overigens echt niet minder hoor. Vergeet niet, buiten mensen van kennis met hun telefoon, zijn er 80% die gewoon blind geloven op alles van hun provider.

[SinergyX]

Natuurlijk, maar in dit geval zou ik het eerder als 'phising' neerzetten dan als 'technisch' exploit', je uiteindelijke 'hack' is 100% afhankelijk van de gebruiker. Goed, je moet wel onder de juiste (nouja) afzender iets sturen, maar meer lukt je dan ook niet zolang de gebruiker dus niets doet/accepteert.

Dit is niet veel anders als vroeger met de 'verbeterde inbelverbindingen' en de 'optimize your DSL speed' tooltjes, deden in principe hetzelfde, maar het was de gebruiker die dit gewoon moest 'uitvoeren'. Dat het nu ook blijkbaar op een mobiel kan leuk, maar bijzonder vind ik het nu ook weer niet.

[Reactie gewijzigd door SinergyX op 25 juli 2024 22:39]

[RemcoDelft]

De grote vraag is dus waarom providers configuratieberichten al jarenlang zomaar "open" versturen, zonder even te controleren of externe partijen niet ook zulke berichten richting hun klanten sturen.

Edit n.a.v. onderstaande: het mobieltje hoeft geen beveiliging te doen, de provider zelf zou moeten controleren om een bericht geen configuratiegegevens bevat.

Dus:
Bericht van provider A > klant van provider A ==> geen probleem.
Bericht van provider A afkomstig van provider B > klant van provider A ==> dit moet worden onderschept bij provider A.

[Reactie gewijzigd door RemcoDelft op 25 juli 2024 22:39]

[FreezeXJ]

Omdat deze techniek uit het jaar kruik stamt, en er toen nog niet op privacy gelet werd. Dit is 2g, 0 beveiliging, gewoon puur netwerk-verzending naar alle domme mobieltjes (denk Nokia 3310). Die kunnen geen rekenwerk doen, geen encryptie, niks. Gewoon data-pushen.

[xehbit]

"Providers kunnen het lek vooralsnog niet dichten, dat kan pas vanaf eind juni, zegt André van Wieringen van MobiConsult. "

reden:

"Rosberg heeft inmiddels een patentaanvraag lopen voor deze oplossing."

??