Simjacker, útok na SIM kartu

Společnost AdaptiveMobile Security zveřejnila informace o možných útocích na SIM kartu. Útočník může pomocí SMS řídit SIM kartu a skrze ní mobilní telefon oběti. Více na stránce Simjacker.

12.9.2019 20:44 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Käyttäjä 11133]

Shiiiiit.

[Petr]

Hmm.. Jsem starej.
Nová generace znovuobjevuje ty samé zranitelnosti.

[Käyttäjä 11133]

Muzes odkazat na ten stary paper, ktery nevyzadoval aby si emuloval vlastni BTSku, nebo neexploitoval SS7 signalizacni protokol?

[Petr]

Snížení nákladů na útok snad znamená, že tu ta díra není už spousty let, aniž by se ji kdokoliv pokusil řešit?

[Käyttäjä 11133]

Takze kdyz je v jadre jeden otevreny remote exploit, tak by se o dalsich lokalnich privilage escalation exploitech nemelo informovat dokud neni vyreseny ten prvni?

[Petr]

Pokud tohle ma byt protiargument, tak si trhni nohou.

[bubakzwidlakowa]

Ano muzu. https://www.slideshare.net/silpol/us-13nohlrootingsimcardsslides

[Käyttäjä 11133]

Diky, zajimave cteni, nezaregistroval jsem.

[David Heidelberg]

nakonec mít oddělenou proprietární GSM část od systému samotného + HW killswitch nezní tak špatně #librem5

[Peter Golis]

Nie som si istý tým, či to v tomto prípade pomôže ak sa vykonáva tento daný kód na SIM karte s pomocou samotného GSM modulu.

[bubakzwidlakowa]

Oddělení GSM části nepomůže, protože SIMkarta v sobě má Java Virtual Machine.

[Käyttäjä 11133]

Pokud ho odpoji od napajeni tak samozrejme pomuze...

[Peter Golis]

Ale to môže jednoducho nezasunúť SIM kartu do GSM časti (a ani tam nenahrať eSIM), čím hociktorý smradfón degraduje na PDA.

[David Heidelberg]

i bez zasunuté SIM GSM modul funguje, stále jde vytočit nouzová čísla

[Peter Golis]

To síce funguje, ale bez JVM na SIM karte.

[Max]

Potvrzuji, že tuto chybu využívá k sledování s největší pravděpodobností i PČR. Když jsem kdysi zaslechl, jak funguje sledování podezřelých, tak i zaznělo, že když se dlouho nehlásí jeho poloha, posílá se mu sms (kterou dotyčný neuvidí). Tenkrát jsem to nechápal, myslel jsem si, že to nějak souvisí s komunikací s BTS, ale teď mi přijde pravděpodobnější, že PČR má soft, který tuto zranitelnost využívá.
Zdar Max

[Jendа]

Na hidden SMS AFAIK nepotřebuješ takovouto věc. A jinak si myslím že operátor může vyvolat paging i bez SMS/hovoru (samozřejmě otázka je jestli to mají implementované).

[Max]

A jak tedy funguje komunikace telefonu s BTS? Jsem myslel, že komunikace tam běží relativně nonstop, tím pádem by měla být známá i poloha, ne? Tzn., není důvod k posílání hidden sms k propingnutí polohy, ne?
Zdar Max

[Jana J.]

Pokud se telefon nehlásí na BTS, tak mu ta SMS tak jako tak nedojde, ne?

[Max]

To netuším, já právě tu komunikaci s BTS neznám, na to je odborník Jenda. Třeba můžete telefon fungovat v určitých případech v pasivním režimu a spojení může inicializovat BTS. To by pak ta hidden sms dávala smysl.
Zdar Max

[Jana J.]

No mně se právě ten pasivní režim moc nezdá, protože telefon je mobilní a může volně přecházet mezi BTS. Takže pokud se přestane hlásit, je to spíš známka toho, že je mimo dosah. Logicky bych předpokládala, že tam probíhá nějaká keepalive komunikace (která může být inicializovaná i z BTS) a pokud ustane a v nějakém termínu se neobnoví, prostě se vazba telefonu na BTS zruší.

Ale uznávám, že taky vařím z vody. Snad Jenda odpoví.

[Josef Kufner]

Udržovat aktivní komunikaci by stálo docela hodně energie. Spíš bych to viděl tak, že telefon se přihlásí k BTS, řekne "jsem tu" a přejde do úsporného režimu, kdy jen pasivně poslouchá. Když je pak po telefonu sháňka, třeba aby mu mohla být doručena SMS, tak se poslední BTS, kam se přihlásil ozve, zda tam telefon je. A pokud telefon neodpoví, tak se po něm začnou shánět i okolní BTS, jestli se náhodou nepohnul. Nějaká keep-alive komunikace tam bude také, ale mohla by být v relativně dlouhých intervalech. (Disclaimer: Je to jen spekulace.)

[Jana J.]

No já nemyslela že to bude dělat v jednom kuse. Prostě že to "jsem tu" jednou za čas zopakuje. Telefon očividně skenuje okolní BTS a přehlašuje se mezi nimi (u sebe to pak vidím třeba v logu Llamy), obyčejné "pingnutí" jednou za minutu bude podle mě energeticky daleko méně náročné.

Každopádně v tom případě jsme zpátky u Jendy nahoře, netřeba skryté SMS, stačí když se telefonu ozve BTS.

[Jana J.]

Zkoušela jsem dohledat, jestli probíhá nějaká průběžná signalizace mezi BTS a mobilní stanicí a nějak se nemůžu dobrat výsledku. Všude popisují jak probíhá přihlášení na BTS, vyhledání telefonu a vlastní hovor, ale co se děje mezi tím, to ne.

Napadlo mě vyzkoušet, co se stane, když se mobil "ztratí" z dosahu bez odhlášení ze sítě; pokud si síť aktivně aktualizuje informaci o tom, jestli je mobil v dosahu, mělo by se po nějaké době zkrátit čekání na odmítnutí hovoru. Bohužel jsem zjistila, že už nemám k dispozici telefon s vyndavací baterkou a při standardním vypnutí se mobil nejspíš vždy odhlašuje od sítě.

[Peter Golis]

Tá komunikácia "keep alive" beží s rôznymi intervalmi, a do extrému to priviedla napríklad Nokia. Zriedením tej komunikácie dosiahli výdrž pri dumbfónoch s 1Ah baterkou okolo jedného mesiaca na príjme. Počas tej odmlky ktorá je rádovo v minútach môže telefón prejsť o niekoľko desiatok kilometrov ďalej, teda až za okolité BTSky.

Komunikáca GSM má aj správu kde sieť vysiela požiadavky na telefón "kde si", inak by človeku nezvonil telefón vo vlaku alebo na dialnici. Sieť by ho neevidovala, nevidela by ho až do najbližšieho akoby prihlásenia sa.

[Jana J.]

Jo, tak nějak jsem si to představovala.

[Peter Golis]

Akurát tých typov komunikácie je tam trochu viac. Napríklad rutinné doručenie SMS má osem stavov, vrátane doručenky. Viac info môže poskytnúť knižnica ETSI.ORG, ja do nej nemám prístup už niekoľko päťročníc.

Inak, nemá niekto k dispozícii alternatívny firmware pre tie zosilňovače GSM signálu čo predáva číňan za cca 30$?

[Josef Kufner]

Namísto vyndavací baterky můžeš použít alobal od čokolády a simulovat s ním tunel metra.

[Jana J.]

Taky mě to napadlo, ale neměla bych zaručené, že se mu přece jen nepovedlo něco poslat. Navíc sundavat v mé přítomnosti alobal z čokolády není bezpečné...

[Jendа]

No já o tom taky vím prd, nevím nic víc než co bylo potřeba pro cracknutí nahrané komunikace. Telefon pouze pasivně poslouchá na kanálu a čeká na výzvu BTS (paging), tj. během tohoto čekání může někam fyzicky odjet (s tím že já to chápu tak, že paging je vždycky globální v rámci location area (typicky řádově několik kilometrů), takže pro pohyb mezi BTS v rámci LA se nemusí poloha přeregistrovat; jakmile vyjdeš z LA do sousední tak musíš síti sdělit že má posílat paging jinde). Tato výzva přijde při přicházejícím hovoru, SMS, ale BTS to dělá i periodicky. Mimochodem tohle je podle mě důvod proč někdy trvá třeba 10 sekund než se ozve „volaný účastník není dostupný“ -- sít zkouší opakovaně paging a až když se telefon neozve, tak ho prohlásí za mrtvý. (což se stane třeba při tom náhlém odpojení napájení jak píše Johanka). Jak dlouhé jsou ty timeouty a kdo a proč je takhle nastavuje netuším.

Pak mě ještě napadlo, že operátoři musí v rámci data retention uchovávat metadata pouze o aktivních přenosech (hovor, SMS (i příchozí), data), ale když mobil jenom chodí mezi BTS, tak to neukládají. Jak to je pokud dostanou explicitně příkaz nevím.

[Gilhad]

onehda jsem kdesi videl, jak si nekdo nechal vyjet data o pohybu sveho telefonu behem dne a bylo tam stovky pozic (a urcite nemel stovky hovoru, SMS ci podobnych) a jeho pohyb zachyceny dost podrobne, vcetne toho jak dlouho kde travil. Takze urcite to po nejakou dobu uchovavaji - i ten pohyb mezi BTS, po jakou dobu a co s tim delaji dal je otazka.

[Jendа]

To, co jsem viděl já (od Honzy Cibulky), bylo právě každých 20 minut „internet“ (asi nějaká chatovací aplikace která si drží datové spojení).