Onderzoeker luisterde gesprekken af via hack op femtocell-managementsoftware

Beveiligingsonderzoeker Jeonghoon Shin, werkzaam bij een bedrijf dat niet genoemd wil worden, toonde in een presentatie op de Hack in the Box-conferentie in Amsterdam hoe hij in staat was om in Zuid-Korea gesprekken af te luisteren via een hack op femtocell-managementsoftware.

Jeonghoon zei dat hij geïnteresseerd raakte in femtocellen, omdat zij een belangrijk onderdeel zijn van 4g-netwerken en het mogelijk maken om communicatiegegevens te onderscheppen. In Zuid-Korea worden de apparaten ingezet om dekking te bieden in gebieden waar slecht bereik is. Er zijn momenteel ongeveer 9000 femtocellen verdeeld over het gehele land. De apparaten mogen niet aan particulieren worden verkocht. Oorspronkelijk was het de bedoeling om alle huishoudens van een exemplaar te voorzien, maar dat is nog niet van de grond gekomen.

Dat is een van de redenen dat er weinig informatie te vinden is over femtocellen. De onderzoeker begon zijn zoektocht daarom op internet en zocht alle mogelijke informatie, van nieuwsberichten tot persberichten van fabrikanten. Uit die informatie maakte hij op dat er een femtocell in de buurt van het station van Gangnam in de Zuid-Koreaanse hoofdstad Seoul is geïnstalleerd. Hij vroeg vervolgens een vriend om een aantal foto’s van het apparaat te nemen.

Aan de hand van de foto’s kon hij het ip-adres van de femtocell vaststellen, wat hem in staat stelde om de fabrikant en het model te identificeren. Na enig zoeken lukte het hem om een handleiding van het betreffende model te vinden. Die bleek een grote hoeveelheid informatie te bevatten, waaronder de root-inloggegevens van een bestaande femtocell. Door daarop in te loggen was hij vervolgens in staat om de firmware en verschillende configuratiebestanden te achterhalen.

Door de firmware te analyseren, was hij in staat om een lek te vinden dat hem in staat stelde om op afstand code uit te voeren op een femtocell en zo toegang te verkrijgen. De onderzoeker legde aan Tweakers uit dat hij bovendien ontdekte dat de femtocellen worden aangestuurd via een centraal systeem met de naam HeNB Management System. Dit was toegankelijk via ftp, http en cwmp. Inloggen op het systeem was mogelijk via een Flash-pagina. Door het corresponderende swf-bestand te downloaden en te decompileren, kon hij een lek vinden waardoor toegang kon worden verkregen tot het systeem.

Hierdoor lukte het hem wederom om aan de hand van logbestanden de locaties van alle in Zuid-Korea aanwezige femtocellen te identificeren. Zo logde hij bijvoorbeeld in op een drukke cel en ging hij op zoek naar gesprekken. Tijdens de presentatie zei hij dat het mogelijk was om http-verkeer van verbonden gebruikers te onderscheppen en dat het ook mogelijk zou zijn geweest om hetzelfde te doen met https-verkeer. Hij richtte zich echter op gesprekken die via sip en rtp werden verstuurd.

Door een eigen tool te bouwen, lukte het hem om gesprekken te onderscheppen en met ffmpeg van amr om te zetten naar mp3-bestanden. Tijdens een demo toonde hij dit proces aan met al opgenomen gesprekken, waarbij alleen de partij te horen was die met de femtocell is verbonden. Daaronder waren gesprekken van bedrijven en particulieren. De onderzoeker legde uit dat hij in principe toegang had tot elke femtocell in Zuid-Korea.

Hij vermeldde dat alle gevonden kwetsbaarheden inmiddels zijn opgelost, maar dat het enige moeite kostte om de providers te benaderen. De eerste keer werd hij genegeerd en de tweede keer dreigden de organisaties dat hij niets naar buiten mocht brengen.

Reacties (15)

[Bliep]

Het is ook belachelijk dat VoLTE geen end to end encryption heeft. Dat zo'n standaard anno 2017 geïmplementeerd wordt kan alleen door veiligheidsdiensten lobby verklaard worden.

[Mopperman]

ik snap je punt, maar een flash gebaseerde management tool? Dat is nog erger dan geen e2e encryption..!

[Armin]

Het is ook belachelijk dat VoLTE geen end to end encryption heeft

Dat was dan gelijk de doodsteek van VoLTE geweest, want geen enkele overheid op aarde had het dan toegestaan.

[Nielshoppy]

Meld je het netjes en wordt je genegeerd. Toch wel netjes dat hij het gewoon nog eens probeerde te melden.

[TIGER79]

jah en daarna wordt er gewoon gedreigd, ook zo fijn...

De eerste keer werd hij genegeerd en de tweede keer dreigden de organisaties dat hij niets naar buiten mocht brengen.

[GrimScythe]

Dat zal wel denk ik ermee te maken hebben dat ze het niet aan de grote klok willen hangen voordat het gemaakt is.
Maar dan nog had de manier waarop zeer zeker anders aangepakt kunnen worden ipv dreigen, aangezien het toch iemand betreft die je wil helpen met je beveiliging op orde te krijgen.

[GeniusAr]

"Aan de hand van de foto’s kon hij het ip-adres van de femtocell vaststellen.."
Hoe dan?!

[mesm90]

Ik verwacht zoals wel vaker het geval is bij diverse apparaten, een sticker met de gegevens erop doet wonderen.

[Verwijderd]

Ha een flash login, das natuurlijk vragen om problemen, ik zit zelf ook wel eens van die swfjes te decompilen (of naja, laatste tijd niet meer hehe) en soms staan er gewoon plaintext wachtwoorden in, of een boolean 'isAdmin' en dat soort schrijnende fouten, altijd leuk.
(en nee, ik ben niet anti-flash, ik ben zelfs ex-flash-dev)

[Armin]

Eens, maar ook een non-flash loging zonder 2FA zou een drama zijn geweest.

Aan de andere kant, ik denk dat dit niet anders is dan met 2Gen 3G, waar het me ook niet zou verbazen als er diverse systemen van de bekende grote providers openlijk te bereiken zijn via een enkel wachtwoord.

[Indoubt]

Het lijkt wel of tegenwoordig alles brak is en bijna nergens goede beveiliging is geïmplementeerd. Dit soort berichten krijgen we nog steeds bijna dagelijks.

Voegâh moest je tenminste nog in een paal klimmen om een tap te leggen

[WonnaPlay]

Of diep in de zee

Operation Ivy Bells