Credete che le SIM siano al sicuro? Niente di più sbagliato: come già dimostrato dal fenomeno SIMJacker di qualche settimana fa, adesso a mettere apprensione è WIBattack, un bug, se così lo si può definire, che colpisce le SIM sfruttando il software integrato al loro interno (quello che viene utilizzato dai vari gestori telefonici di riferimento). Non importa il sistema operativo utilizzato dallo smartphone, né tanto meno il brand che lo contraddistingue: come riportato da ‘zdnet.com‘, WIBattack si basa sul sistema Wireless Internet Browser (WIB), ovvero quella serie di applicativi innestati a bordo delle SIM dai provider per garantire alcuni servizi ai clienti da remoto.
I malfattori sarebbero liberi di impartire comandi alle SIM attraverso alcuni SMS binari, il tutto a completa insaputa dell’utente (non ci sono sistemi di sicurezza in grado di rilevare questa minaccia). Le istruzioni cui possono ricorrere i cyber-delinquenti sono diverse, come la richiesta della posizione, l’avvio di una chiamata telefonica, l’invio di un SMS, l’inoltro di input SS, l’invio di richieste USSD, l’avvio del browser con indirizzamento verso un determinato indirizzo, la visualizzazione di un certo testo sul display del device, la riproduzione di una suoneria, etc. Sapete questo cosa può voler significare? Che chi vi sta tendendo la trappola potrà controllare ogni vostro spostamento, oppure anche semplicemente spiarci avviando all’improvviso una chiamata telefonica, il tutto a nostra completa insaputa. Quali sarebbero le condizioni necessarie per far partire l’attacco? In realtà non è sufficiente aver installato a bordo i vari applicativi S@T Browser o WIB (si tratta di software non installati su tutte le SIM), ma occorre anche che i malfattori inviino SMS OTA alla SIM della vittima, un’operazione non sempre possibile per il blocco previsto dai gestori telefonici per via di alcuni sistemi di sicurezza presenti sulle SIM.
C’è anche un modo per stabilire se una data SIM risulti o meno vulnerabile all’attacco, sviluppato dagli esperti di SRLabs, di cui una versione per desktop ed una per dispositivi Android (sono richiesti i permessi di root ed il processore Qualcomm). Le indagini condotte sui vari device in test è saltato fuori che all’incirca il 10% avevano a bordo S@T Browser o WIB, e che, nel complesso, il 9.1% risultavano vulnerabili ad incursioni attraverso tali applicativi. Su un campione di 500 mila dispositivi, solo 8 hanno finito col ricevere SMS OTA con indirizzo S@T, per lo più identificati in America Latina. Il riferimento è al 10% di un numero tutt’altro che esiguo, specie considerando alla quantità di SIM attiva in tutto il mondo. Il rischio è potenzialmente notevole, sebbene questo genere di attacco risulti poco appetibile per gli hacker, che gli preferiscono senza ombra di dubbio il SS7, giusto per farvi un piccolo esempio. Un discorso che era doveroso fare per mettervi a conoscenza dei tanti pericoli che si nascondono nelle pieghe della nostra vita quotidiana, anche all’interno delle schede SIM, all’apparenza del tutto innocue. Non crediate ci siano zone franche: tutto, purtroppo, è più o meno attaccabile quando c’è di mezzo l’informatica. Se avete qualche domanda specifica da farci utilizzate il box dei commenti in basso.
