Orange en Microsoft onderzoeken mogelijk telefoonvirus

Microsoft doet samen met Orange (een grote telecomprovider in het Verenigd Koninkrijk) onderzoek naar de mogelijkheid malafide software te draaien op de Smartphones van de Britse maatschappij. Deze Smartphones draaien op Microsofts Smartphone 2002 operating system, waarin naar verluidt nu een veiligheidslek zit. Experts van Microsofts Security Response Center (het team dat onderzoek doet naar veiligheidsgaten in producten van de softwaregigant) wilden - nog - geen uitspraken doen over de zaak, omdat ze dat onverantwoordelijk vonden in dit stadium van het onderzoek.

Het is dan ook nog niet bevestigd dat het inderdaad mogelijk is "gevaarlijke" stukjes software te draaien op de Smartphones of dat er sprake zou zijn van een virusaanval. Volgens anonieme bronnen is dat echter niet zo vreemd: om erachter komen of je telefoon geïnfecteerd is, dien je in sommige gevallen je hele telefoon uit elkaar te halen om hem te "unlocken". Niet iets wat iedereen zo maar eventjes uit de losse pols doet. Alan Reiter, analist bij Wireless Internet & Mobile Computing, meent dat zodra telefoons in staat werden gesteld content, ringtones en dergelijke te downloaden, ze kwetsbaar werden voor dit soort dingen:

"Carriers will have to offer as many different applications from as many different vendors and make downloading as easy as possible," Reiter said. "But the easier it is to transmit and receive data, the more likely it is to get a virus or some rogue code."To his knowledge, however, no one has accomplished on cell phones anything that even compares to the virus attacks that often cripple computer networks. "Obviously, the carriers can't stand this happening," Reiter said. But it's only a matter of time, he added.

Hoe het lek precies werkt en wat voor risico's de gebruikers lopen is tot op heden aan ons niet bekend.

Reacties (37)

[C7RL]

Dit is niet nieuw Je kon vroeger ook al een Motorola 2000 (vaste inbouw in de auto) laten vastlopen of rebooten door een "verminkt" sms berichtje te sturen waarvan hij over zijn nek ging. Dus ik zou er niet vanop kijken als dmv een bepaalde string te zenden naar je mobiel deze ook vastloopt of uitgaat....althans dat zal toch de bedoeling zijn van zo'n "virusje".

edit:
zat te denken motorola==usa==microsoft mischien?

[WhiteDog]

dat komt eerder omdat die Motorola geen error handling heeft... er staat dus iets in de sms header dat hij niet herkent en de software komt bv. in een loop terecht...

[C7RL]

Yep, maar probeer dat maar eens aan een klant uit te leggen

[Kr3Kr]

bij bepaalde versies van de firmware van de 3310 liepen ze toch ook vast als je bepaalde sms-berichten stuurde?

[akoster]

althans dat zal toch de bedoeling zijn van zo'n "virusje".

Als je toch bezig bent met het maken van virussen, waarom dan niet gelijk eentje maken die elke maand een paar uur naar een malafide 0900 nummer in timboektoe of zo belt....

[cybermans]

je hebt toch nu al die java games: het w8en is nu tot ze een java virus maken. Trouwens ik speelde laatst op een siemens vanb een maat van mij een spel krijg ik een null pointer exception

[GORby]

Ja, maar java is dan wel speciaal ontworpen om veilig te zijn. zo zal de virtual machine geen dingen toelaten die mogelijk schadelijk zouden kunnen zijn. Op die manier wordt het risico van slecht geschreven/kwaadaardige applicaties al een stuk minder.

Vergelijk bijvoorbeeld met applets op de PC... deze kunnen bijvoorbeeld ook niet zomaar aan je harddisk. je zal daar eerst toestemming voor moeten geven (of de maker vertrouwen als de applet signed is).

edit:
Bij de mobiele telefoons (toch die die ik ken) wordt de java technologie gewoon gebruikt om games te draaien. Het zou me dan ook niet verwonderen dat in die JVM geen functies zitten om de telefoon aan te sturen zoals bellen, sms, data-verbindingen, opties veranderen, ...
Op die manier zouden die java programma's dus echt veilig zijn.

[jvo]

Goed gezien GORby. En het is inderdaad zo dat er in de midlet api geen functionaliteiten zitten om te bellen, sms'en of verbindingen via IR of bluetooth te maken. Toegang tot het systeem is er ook niet. Geen adressenboek, geen instellingen, niks.

Vastlopen kan inderdaad ook niet echt. Ik heb het althans nog niet meegemaakt. Maar een nullpointer exception is natuurlijk zo voor elkaar.

Bij de api's voor javaphone en personaljava ligt het wel iets anders. Daar kan je bijvoorbeeld wel het adressenboek bekijken vanuit een java applicatie. Met de geleverde internet-toegang is iemands adressenboek zo gepost en het is dan natuurlijk ook mogelijk voor een virus om zichzelf door te sturen.

[MacD]

Hmmm...ik vraag me af of dat echt kan, in verband met de JavaVirtualMachine. Echt vastlopen kan dan toch niet?

[Boss]

Alan Reiter, analist bij Wireless Internet & Mobile Computing, meent dat zodra telefoons in staat werden gesteld content, ringtones en dergelijke te downloaden, ze kwetsbaar werden voor dit soort dingen:

Nou, daar moet je wel analist voor zijn, hoor. Wat een statement. En ik denk dat het nog nergens op slaat ook.

Er zit nogal een verschil tussen 'actieve' en 'passieve' content. Ringtones en dat soort spul is allemaal hardstikke passief. Valt niks van code in mee te sturen die dan zal worden uitgevoerd. Heb je wel eens een ringtone bestandje bekeken? Staan gewoon de noten in die gespeeld moeten worden.

Het wordt pas gevaarlijk als je spelletjes e.d. gaat downloaden. Dit is actieve contenct die daadwerkelijk wordt uitgevoerd door de telefoon, niet alleen geparsed. En daar zijn die smartphones (ook mobi's met andere OSsen die dit toestaan) nu pas aan begonnen.

[wzzrd]

Buffer overflow?

[epoman]

Is Norton Mobile 2003 al verkrijgbaar?

[RetepV]

Waarom is Microsoft toch zo tegen het principe van Java om in een 'box' te draaien, waarbij programma's dus niets kunnen doen buiten die box om?

Dan kun je virussen sturen wat je wil, maar je infecteert alleen de box. De rest van de software in de telefoon is dan onbereikbaar voor gedownloadde programma's, en dan kan er gewoon niks gebeuren.

Als je algemene functies van de telefoon wil gebruiken vraagt de software een interface aan en communiceert vervolgens via die interface, waarbij bij zo'n interface alleen maar hoger niveau functies vrijgeeft.

Het is langzamer, dat zeker, maar nu casht Microsoft even snel in met een manier die sneller is, maar waarvan ze *van te voren wisten* dat hij niet veilig is.

Smartphone 2002 is natuurlijk dood, zo gauw het eerste echte virus gevonden wordt. Die telefoontjes worden met zo weinig marge verkocht dat ze goed moeten werken. Als 10% (gokje hoor ) van de mensen problemen heeft met hun telefoon (garantie claims) kost dat zo'n telefoonbedrijf al zo veel geld dat het niet meer lonend is om die telefoons ueberhaupt te verkopen.

[Expander]

Tja.. De phones van over een paar jaar zijn eigenlijk allemaal kleine computertjes. Hoe meer mogelijkheden/connectiviteit hoe grote de kans op een virus. Net zoals die Alan Reiter zegt.

IMHO is het een kwestie van het installeren van een virusscanner, net als op een pc. Op mijn Clié PDA'tje heb ik immers ook McAfee for Palm OS geïnstalleerd.

[MacD]

En dat zonder dat er een virus in het wild is geconstateerd op PalmOS...goede marketing van Mcaffee.

Ik moet heel erg eerlijk zeggen dat ik al jaren geen virusscanner draai op m'n standalone pc. Ik weet namelijk wat en waarvandaan ik m'n software download. Ook haal ik tijdig de juiste updates. Nog nooit een virus gehad (op wat spyware na, thank you ad-aware!). Maar ja, als je random screensavers gaat oppenen die je emailed zijn...dan verdien je wat je krijgt.

[Vunzz]

Voor de Palm zijn meerdere viri bekend, waaronden LibetyCrack, Phage en Vapor.
Ik ben trouwens nog nooit enige reclameuiting voor McAfee VirusScan for Palm OS in het wild tegengekomen, dus met die marketing zal het ook wel meevallen...

[Verwijderd]

Tja.. De phones van over een paar jaar zijn eigenlijk allemaal kleine computertjes.

Wat dacht je van de telefoons van nu, of die van een paar jaar geleden. Nokia's 9xxx-serie heeft een of ander 486-achtig processortje en draait allerhande software. En dan heb je nu de symbian-telefoons (Nokia 7650, ..), waar je zelfs Doom op kan spelen.

[Verwijderd]

"Carriers will have to offer as many different applications from as many different vendors and make downloading as easy as possible," Reiter said.

Je verliest dan toch niet de veiligheid uit het oog??

[Verwijderd]

Nee, natuurlijk niet, maar ik denk dat Reiter bedoelt dat doordat er zoveel verschillende softwareontwikkelaars en -producten betrokken zijn bij telefoons en het tevens allemaal zo eenvoudig mogelijk moet zijn, de kans op virussen veel sterker toeneemt.

[Jorik]

Gebruik dan ook Symbian...

[Verwijderd]

Dus jij denkt dat Symbian bug vrij en virus veilig is nou ik dacht het dus even niet! Ik denk dat beide platformen even veilig of juist onveilig zijn het is maar net hoe je het wilt bekijken.

[ErectionJackson]

De mensen die hier reageren met "Logisch dat er een lek in zit, gebruik dan geen Microsoft OS" moeten eens even wat meer onderzoek doen voordat ze met zo'n kortzichtige reactie komen. Microsoft heeft namelijk met Orange afgesproken dat de optie om programma's te installeren via het mobiele netwerk (bijv door ze te downloaden van een WAP-site) beperkt is. Het OS van Microsoft biedt namelijk een ingebouwde beveiliging dat alleen programma's die de operator (Orange dus) goedkeurt, geïnstalleerd mogen worden. Deze optie is overigens ook uit te schakelen.

Wat betekent dit? Dat, in tegenstelling tot Symbian telefoons (zoals m'n eigen 7650), de Smartphone van Microsoft (en Orange) NIET zo vatbaar is voor virussen. In het artikel staat:

To launch the rogue programs, an SPV owner will have to know how to "unlock" a cell phone, a difficult process that sometimes involves taking the phone apart

Dus je moet wel dondersgoed weten waar je mee bezig bent wil je dit veiligheidslek een kans geven. Daarnaast is er nog geen één Smartphone van Microsoft met virussen gemeld. Dus het is juist een goede zaak dat Microsoft hiermee bezig is. Ik heb het idee dat Microsoft de beveiliging serieuzer neemt dan Nokia/Symbian.

[packman]

Er komen pas problemen als men een "workaround" vind voor deze lock/unlock...

Want als er een veiligheidsfout inzit kan het wel heel goed zijn dat het hierin zit he...

[Pantagruel]

Your mobile phone is OWNED

Ennuh wat moet je er voor doen, een SMS sturen in een bepaald format ??, of is het een URL exploit ?

Voorheen stopte je mobieltje ermee vanwege fouten in de software (heb zo'n heerlijek nokia gehad), nu krijg je gewoon en virus. kournikova infected your mobile


En wat is het volgende ?

De koffie pot die Windows CoffeePot-XP draait wordt straks ook nog geinfecteerd. Gaat tie thee zetten ipv koffie. Ik wil niet weten wat er met de magnetron gebeurd

[Noxious]

Nog ff over die fouten in die softwarem ik heb een Nokia 5510 met mp3speler en radio, maar die loopt af en toe gewoon vast, moet je em aan en uit zetten...

[cavey]

offtopic:
whehe, aan en uit zetten. nja, dan wil ie het zeker niet meer doen

[ontopic]
mja, da's beetje het probleem met die smartphones heh, het zijn complete computers in een kleine handzame behuizing. Alles wordt zo complex, dat er wel foutjes in moeten kruipen.

ga je je toch afvragen of ze wel bug-checkers gebruiken (Lint enzo, en electrif fence etc.... en uberhaupt van die standaard "parse de source code en check of er niet vage buffer-overflow condities zijn die standaard te checken zijn" .. of formatting bugs in the standard-libraries etc etc...)

[SiliconError]

Alle telefoons hebben bugs. De oude nokia software zat dus ook stampvol met vreemde dingen en crashbugs. Op internet kun je enorme lijsten vinden met known bugs van alle soorten en maten telefoons.
Ik heb zelf een Siemens en die is ook niet bepaald bugvrij.

Dit soort smartphones zullen dus ook wel een aantal bugs bevatten, en nu ze toegang hebben tot internet zullen er (na deze) wel behoorlijk wat exploits volgen.